來自 Red Hat 安全性公告 2015:2417：

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 autofs 套件，可修正一個安全性問題、數個錯誤，並新增一個增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

autofs 公用程式會控制自動掛載程序的作業。此程序會在使用中自動掛載檔案系統，並在閒置時予以取消掛載。

據發現，使用已解譯語言 (例如 Python) 的程式型自動掛載器對應，會使用標準環境變數找出並載入這些語言的模組。本機攻擊者可能利用此瑕疵提升自己在系統上的權限。
(CVE-2014-8169)

注意：此問題已透過將「AUTOFS_」前置詞新增至受影響的環境變數而獲得修正，故這些變數無法用來破壞系統。已新增一個組態選項 (’force_standard_program_map_env’) 來覆寫此前置詞，並使用不含前置詞的環境變數。此外，已在手冊頁面和已安裝的組態檔中加入警告。現在，預設只提供已在其名稱中加入前置詞之程式對應的標準變數。

Red Hat 要感謝 Georgia Institute of Technology 報告此問題。

值得注意的是，此更新修正下列錯誤：

* 當‘ls *’命令在間接掛載的 root 中執行時，autofs 會嘗試實際掛載萬用字元 (*)，進而使其加入負面快取。如果在有效掛載前完成，autofs 會在掛載點內部的後續嘗試時失敗，無論有效與否。此問題已經修正，萬用字元對應項目現可在上述情況下正常運作。(BZ#1166457)

* 當 autofs 遇到多對應項目中有重複項目的語法錯誤時，系統會報告錯誤而不會掛載該對應項目。透過此更新，autofs 已經修改，現會報告記錄中的問題來警告系統管理員，並使用最近看到的重複項目執行個體，不會再失敗。(BZ#1205600)

* 在 ldap 和 sss 查閱模組中，對應讀取函式並未區分「找不到項目」和「服務不可用」錯誤。因此，當「服務不可用」回應從主機對應讀取傳回時，autofs 並未更新掛載。「找不到項目」傳回並未阻止對應更新，因此 ldap 和 sss 查閱模組已經更新，可區分這兩個傳回且現能如預期運作。(BZ#1233065)

此外，此更新還新增了下列增強功能：

* autofs.conf(5) 手冊頁中遺漏組態參數 map_hash_table_size 的描述，且其在組態檔註解中的描述不足。參數描述現已加入 autofs.conf(5)，且組態檔註解已經更新。(BZ#1238573)

建議所有 autofs 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增此增強功能。

偵測

Oracle Linux 7 : autofs (ELSA-2015-2417)

medium Nessus Plugin ID 87040

找不到變更記錄