RHEL 5 : redhat-ds-base (RHSA-2012:1041)

medium Nessus Plugin ID 78926

語系：

概要

遠端 Red Hat 主機缺少一個或多個安全性更新。

說明

現已提供適用於 Red Hat Directory Server 8 的更新版 redhat-ds-base 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Directory Server 是 LDAPv3 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 Red Hat Directory Server 處理密碼變更的方式中發現一個瑕疵。如果 LDAP 使用者已變更其密碼，且目錄伺服器自從該變更之後尚未重新啟動，則能夠連結至目錄伺服器的攻擊者可透過 'unhashed#user#password' 屬性取得該使用者密碼的純文字版本。
(CVE-2012-2678)

據發現，當變更 LDAP 使用者的密碼，且啟用稽核記錄 (其預設為停用) 時，新密碼會以純文字型式寫入至稽核記錄中。此更新引入了一個新組態參數 'nsslapd-auditlog-logging-hide-unhashed-pw'，將其設定為「開啟」(預設選項) 時，可防止 Red Hat Directory Server 將純文字密碼寫入至稽核記錄。此選項可在 '/etc/dirsrv/ slapd-[ID]/dse.ldif' 中設定。(CVE-2012-2746)

建議所有 Red Hat Directory Server 8 使用者皆升級至這些更新版套件，其可解決這些問題。安裝此更新後，dirsrv 服務隨即自動重新啟動。