來自 Red Hat 安全性公告 2016:0204：

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 389-ds-base 套件，可修正一個安全性問題和數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

389 Directory Server 是 LDAP 3 版 (LDAPv3) 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 389 目錄伺服器中發現一個無限迴圈弱點，其中，該伺服器無法正確處理意外關閉的用戶端連線。若遠端攻擊者可連線至伺服器，便可利用此瑕疵使目錄伺服器消耗過多 CPU，進而停止接受連線 (拒絕服務)。(CVE-2016-0741)

此項更新可修正下列錯誤：

* 先前，後端發生簡單分頁結果搜尋失敗時，簡單分頁結果插槽不會釋出。因此，連線物件中的簡單分頁結果插槽便可能會逐漸累積。透過此更新，搜尋失敗時，簡單分頁結果插槽會正確釋出，未使用的簡單分頁結果插槽也不會再遺留在連線物件中。(BZ#1290725)

* 先前，使用 ldapmodify 命令刪除相同屬性的數個值時，在同一個作業期間，其中至少有一個值會再次新增，相等索引不會更新。因此，重新新增的屬性值精確搜尋不會傳回項目。索引程式碼的邏輯已修改，項目中至少有一個值變更時，索引便會更新，且重新新增的屬性值精確搜尋現也可傳回正確的項目。(BZ#1290726)

* 在此更新之前，由於記憶體損毀，導致系統在 cleanAllRUV 工作執行時，會重複記錄假的 attrlist_replace 錯誤訊息。透過此更新，現會使用正確的記憶體複製函式 memmove，其可修正記憶體損毀。因此，在此狀況下不會再記錄錯誤訊息。(BZ#1295684)

* 先前為了修正簡單分頁結果錯誤，對連線新增了一個獨占鎖定。因而在特定情況下造成自我鎖死。透過此更新，連線獨占鎖定已變更為重新進入類型，不會再發生自我鎖死。(BZ#1298105)

* 先前，連線物件有時會取得不必要的鎖定，而其可能造成鎖死。現已套用修補程式，移除不必要的鎖定，不會再發生鎖死。(BZ#1299346)

建議 389-ds-base 使用者升級至這些更新版套件，其可更正這些問題。安裝此更新之後，389 伺服器服務將會自動重新啟動。

偵測

Oracle Linux 7：389-ds-base (ELSA-2016-0204)

high Nessus Plugin ID 88782

找不到變更記錄