1 つのセキュリティ問題といくつかのバグを修正する更新済み gdm パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

GNOME Display Manager（GDM）とは、X Display Manager（XDM）の設定可能な再実装版です。GDM により、X Window System を実行しているシステムにログインできます。また、ローカルマシンでの複数の X セッションの同時実行もサポートしています。

gdm パッケージの構築方法に欠陥がありました。gdm パッケージでは、TCP ラッパーサポートが欠けていました。このため管理者は、アクセス制限が無効な場合でも、有効化されたと誤認してしまうことがあります。（CVE-2009-2697）

この更新は以下のバグも修正します：

* GDM Reference Manual が gdm パッケージに含まれるようになりました。gdm-docs パッケージでは、このドキュメントを HTML 形式で「/usr/share/doc/」にインストールします。（BZ#196054）

* GDM は、テルグ語（te_IN）を使用するシステムにおいて、英語で表示されていました。この更新では、GDM が te_IN にローカライズされました。（BZ#226931）

* runlevel 5 では、Ctrl+Alt+Backspace シーケンスで、X サーバーがリセットされます。ただし過去のリリースでは、このシーケンスを繰り返し使用することにより、リセットプロセスの一環として GDM で X サーバーを起動することができませんでした。
これが発生した理由は、GDM が X サーバーのシャットダウンを適切に認識しないことがあり、その後のリセットプロセスを完了できなかったためです。
この更新には、X サーバー終了時に必ず GDM に明示的に通知されるチェックが追加されており、これによりリセットが確実に実行されるようになっています。（BZ#441971）

* 「gdm」ユーザーが、デフォルトで「audio」グループに加わるようになりました。これにより、ログイン画面のオーディオサポートが有効になります。（BZ#458331）

* gui/modules/dwellmouselistener.c ソースコードに、タブレットデバイスが適切に機能することを妨げる、正しくない XInput コードが含まれていました。この更新では、誤りのあるコードが削除され、タブレットデバイスが想定通りに動作するようになりました。（BZ#473262）

* XOpenDevice() 関数のバグは、「/etc/X11/xorg.conf」で定義されたデバイスが実際にはプラグインされていない場合、X サーバーの起動を常に妨げていました。この更新では、gdk_error_trap_pop() および gdk_error_trap_push() 関数の XOpenDevice() をラップして、このバグを解決しています。これにより、「/etc/X11/xorg.conf」で定義されたデバイスが未接続の場合でも X サーバーは適切に起動するようになります。
（BZ#474588）

全ユーザーは、これらの問題を解決する更新済みパッケージへアップグレードする必要があります。この更新を有効にするには、GDM を再起動する必要があります。
再起動するとこれが実行されますが、実行レベルを 5 から 3 へ変更し、 5 に戻すことでも GDM を再起動できます。

Updated gdm packages that fix a security issue and several bugs are now available for Red Hat Enterprise Linux 5.

This update has been rated as having low security impact by the Red Hat Security Response Team.

The GNOME Display Manager (GDM) is a configurable re-implementation of XDM, the X Display Manager. GDM allows you to log in to your system with the X Window System running, and supports running several different X sessions on your local machine at the same time.

A flaw was found in the way the gdm package was built. The gdm package was missing TCP wrappers support, which could result in an administrator believing they had access restrictions enabled when they did not. (CVE-2009-2697)

This update also fixes the following bugs :

* the GDM Reference Manual is now included with the gdm packages. The gdm-docs package installs this document in HTML format in '/usr/share/doc/'. (BZ#196054)

* GDM appeared in English on systems using Telugu (te_IN). With this update, GDM has been localized in te_IN. (BZ#226931)

* the Ctrl+Alt+Backspace sequence resets the X server when in runlevel 5. In previous releases, however, repeated use of this sequence prevented GDM from starting the X server as part of the reset process.
This was because GDM sometimes did not notice the X server shutdown properly and would subsequently fail to complete the reset process.
This update contains an added check to explicitly notify GDM whenever the X server is terminated, ensuring that resets are executed reliably. (BZ#441971)

* the 'gdm' user is now part of the 'audio' group by default. This enables audio support at the login screen. (BZ#458331)

* the gui/modules/dwellmouselistener.c source code contained incorrect XInput code that prevented tablet devices from working properly. This update removes the errant code, ensuring that tablet devices work as expected. (BZ#473262)

* a bug in the XOpenDevice() function prevented the X server from starting whenever a device defined in '/etc/X11/xorg.conf' was not actually plugged in. This update wraps XOpenDevice() in the gdk_error_trap_pop() and gdk_error_trap_push() functions, which resolves this bug. This ensures that the X server can start properly even when devices defined in '/etc/X11/xorg.conf' are not plugged in.
(BZ#474588)

All users should upgrade to these updated packages, which resolve these issues. GDM must be restarted for this update to take effect.
Rebooting achieves this, but changing the runlevel from 5 to 3 and back to 5 also restarts GDM.

CVE-2009-2697 gdm not built with tcp_wrappers

A flaw was found in the way the gdm package was built. The gdm package was missing TCP wrappers support, which could result in an administrator believing they had access restrictions enabled when they did not. (CVE-2009-2697)

This update also fixes the following bugs :

  - the GDM Reference Manual is now included with the gdm     packages. The gdm-docs package installs this document in     HTML format in '/usr/share/doc/'. (BZ#196054)

  - GDM appeared in English on systems using Telugu (te_IN).
    With this update, GDM has been localized in te_IN.
    (BZ#226931)

  - the Ctrl+Alt+Backspace sequence resets the X server when     in runlevel 5. In previous releases, however, repeated     use of this sequence prevented GDM from starting the X     server as part of the reset process. This was because     GDM sometimes did not notice the X server shutdown     properly and would subsequently fail to complete the     reset process. This update contains an added check to     explicitly notify GDM whenever the X server is     terminated, ensuring that resets are executed reliably.
    (BZ#441971)

  - the 'gdm' user is now part of the 'audio' group by     default. This enables audio support at the login screen.
    (BZ#458331)

  - the gui/modules/dwellmouselistener.c source code     contained incorrect XInput code that prevented tablet     devices from working properly. This update removes the     errant code, ensuring that tablet devices work as     expected. (BZ#473262)

  - a bug in the XOpenDevice() function prevented the X     server from starting whenever a device defined in     '/etc/X11/xorg.conf' was not actually plugged in. This     update wraps XOpenDevice() in the gdk_error_trap_pop()     and gdk_error_trap_push() functions, which resolves this     bug. This ensures that the X server can start properly     even when devices defined in '/etc/X11/xorg.conf' are     not plugged in. (BZ#474588)

GDM must be restarted for this update to take effect. Rebooting achieves this, but changing the runlevel from 5 to 3 and back to 5 also restarts GDM.

Note: setup needed to be updated for dependencies.

The remote Oracle Linux 5 host has packages installed that are affected by a vulnerability as referenced in the ELSA-2009-1364 advisory.

  - The Red Hat build script for the GNOME Display Manager (GDM) before 2.16.0-56 on Red Hat Enterprise Linux     (RHEL) 5 omits TCP Wrapper support, which might allow remote attackers to bypass intended access     restrictions via XDMCP connections, a different vulnerability than CVE-2007-5079. (CVE-2009-2697)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

CVE-2009-2697 gdm は tcp_wrappers でビルドされていません

gdm パッケージの構築方法に欠陥がありました。gdm パッケージでは、TCP ラッパーサポートが欠けていました。このため管理者は、アクセス制限が無効な場合でも、有効化されたと誤認してしまうことがあります。（CVE-2009-2697）

この更新は以下のバグも修正します：

- GDM Reference Manual が gdm パッケージに含まれるようになりました。gdm-docs パッケージでは、このドキュメントを HTML 形式で「/usr/share/doc/」にインストールします。（BZ#196054）

- GDM が、テルグ語（te_IN）を使用するシステムで英語で表示されていました。
 この更新では、GDM が te_IN にローカライズされました。
 （BZ#226931）

- runlevel 5 のとき、Ctrl+Alt+Backspace シーケンスで、X サーバーがリセットされます。ただし過去のリリースでは、このシーケンスを繰り返し使用することにより、リセットプロセスの一環として GDM で X サーバーを起動することができませんでした。これが発生した理由は、GDM が X サーバーのシャットダウンを適切に認識しないことがあり、その後のリセットプロセスを完了できなかったためです。この更新には、X サーバー終了時に必ず GDM に明示的に通知されるチェックが追加されており、これによりリセットが確実に実行されるようになっています。
 （BZ#441971）

-「gdm」ユーザーが、デフォルトで「audio」グループに加わるようになりました。これにより、ログイン画面のオーディオサポートが有効になります。
 （BZ#458331）

- gui/modules/dwellmouselistener.c ソースコードに、タブレットデバイスが適切に機能することを妨げる正しくない XInput コードが含まれていました。この更新では、誤りのあるコードが削除され、タブレットデバイスが想定通りに動作するようになりました。（BZ#473262）

- XOpenDevice() 関数のバグにより、「/etc/X11/xorg.conf」で定義されたデバイスが実際には接続されていないときは常に X サーバーが起動することが妨げられていました。この更新では、gdk_error_trap_pop() および gdk_error_trap_push() 関数の XOpenDevice() をラップし、このバグを解決しています。これにより、「/etc/X11/xorg.conf」で定義されたデバイスが接続されていないときでも X サーバーが適切に起動できます（BZ#474588）

この更新を有効にするには、GDM を再起動する必要があります。再起動するとこれが実行されますが、実行レベルを 5 から 3 へ変更し、 5 に戻すことでも GDM を再起動できます。

注：依存関係のためのセットアップの更新が必要でした。

リモートの Oracle Linux 5 ホストに、ELSA-2009-1364 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Red Hat Enterprise Linux (RHEL) 5 上の 2.16.0-56 以前の GNOME Display Manager (GDM) 用 Red Hat ビルドスクリプトでは、TCP Wrapper サポートが省略されています。これにより、リモート攻撃者が XDMCP 接続を介して、意図されたアクセス制限をバイパスできる可能性があります。これは、CVE-2007-5079 とは別の脆弱性です。(CVE-2009-2697)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Oracle Linux 5 主機中安裝的套件受到 ELSA-2009-1364 公告中提及的一個弱點影響。

  - 在 Red Hat Enterprise Linux (RHEL) 5 上，2.16.0-56 版之前的 GNOME Display Manager (GDM) 的 Red Hat 建構腳本省略了 TCP Wrapper 支援，這可能允許遠端攻擊者透過 XDMCP 連線繞過預定的存取限制，此弱點與 CVE-2007-5079 中所述弱點不同。(CVE-2009-2697)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

CVE-2009-2697 gdm 不是以 tcp_wrappers 構建

在構建 gdm 套件的方式中發現一個瑕疵。gdm 套件缺少 TCP 包裝函式支援，可導致系統管理員在並沒有啟用存取限制的情況下相信他們已啟用存取限制。(CVE-2009-2697)

此更新也可修正下列錯誤：

- gdm 套件現已隨附 GDM 參照手冊。gdm-docs 套件會將此文件以 HTML 格式安裝在 ‘/usr/share/doc/’ 中。(BZ#196054)

- GDM 在使用 Telugu (te_IN) 的系統上是以英文顯示。
 透過此更新，GDM 已當地語系化為 te_IN。
 (BZ#226931)

- 在執行層級 5 時，Ctrl+Alt+退格鍵序列會重設 X 伺服器。不過，在先前版本中，於重設處理程序重複使用此序列可防止 GDM 啟動 X 伺服器。這是因為 GDM 有時候沒有注意到 X 伺服器正常關機，因此之後無法完成重設處理程序。此更新包含每當 X 終止時，明確通知 GDM 的額外檢查，以確保可靠地執行重設。
 (BZ#441971)

- 'gdm' 使用者現在預設屬於 'audio' 群組。這可在登入畫面啟用音訊支援。
 (BZ#458331)

- gui/modules/dwellmouselistener.c 原始程式碼內含不正確的 XInput 程式碼，這會讓平板裝置無法正常運作。此更新會移除錯誤的程式碼，以確保平板電腦裝置如預期般運作。(BZ#473262)

- 只要 '/etc/X11/xorg.conf' 中定義的裝置實際上並未插入，XOpenDevice() 函式中的一個錯誤就會讓 X 伺服器無法啟動。此更新可將 XOpenDevice() 包裝至 gdk_error_trap_pop() 和 gdk_error_trap_push() 函式，藉此解決此錯誤。這可確保即使未插入 '/etc/X11/xorg.conf' 中定義的裝置，X 伺服器仍可正常啟動 (BZ#474588)

GDM 必須重新啟動，此更新才會生效。重新開機後即可完成，但將執行層級從 5 改為 3 後再改回 5 時，也可重新啟動 GDM。

注意：設定必須針對相依性進行更新。

CVE-2009-2697 gdm 未通过 tcp_wrappers 进行构建

在构建 gdm 程序包的方式中发现一个缺陷。gdm 程序包缺少 TCP 包装程序支持，可导致管理员认为他们已启用了访问限制，而实际上并没有启用。(CVE-2009-2697)

此更新还修复以下缺陷：

- gdm 程序包现在随附 GDM Reference Manual。gdm-docs 程序包在“/usr/share/doc/”中以 HTML 格式安装此文档。(BZ#196054)

- GDM 在使用 Telugu (te_IN) 的系统上显示为英文。
 通过此更新，已将 GDM 本地化为 te_IN。
 (BZ#226931)

- Ctrl+Alt+Backspace 序列重置处于运行级别 5 的 X 服务器。但是，在之前的版本中，重复使用此序列会阻止 GDM 在重置进程中启动 X 服务器。这是因为 GDM 有时不会注意 X 服务器是否正确关闭，因此将无法完成重置进程。此更新包含一项新增的检查，以便在每次终止 X 服务器时都明确通知 GDM，从而确保可靠地执行重置。
 (BZ#441971)

- “gdm”用户现在默认为“audio”群组的一部分。这样可启用登录屏幕的音频支持。
 (BZ#458331)

- gui/modules/dwellmouselistener.c 源代码包含错误的 XInput 代码，阻止平板设备正常工作。此更新删除错误的代码，从而确保平板设备按预期方式工作。(BZ#473262)

- XOpenDevice() 函数中的一个缺陷在未实际连接“/etc/X11/xorg.conf”中定义的设备时会阻止 X 服务器启动。此更新在 gdk_error_trap_pop() 和 gdk_error_trap_push() 函数中封装 XOpenDevice()，从而解决此缺陷。这样确保 X 服务器即使在未连接“/etc/X11/xorg.conf”中定义的设备时也能正常启动。(BZ#474588)

必须重新启动 GDM，才能使更新生效。重新启动可实现这一目的，但将运行层级从 5 改成 3，而后再改回 5 也可重新启动 GDM。

注意：由于依存关系，需要更新设置。

远程 Oracle Linux 5 主机上安装的多个程序包受到 ELSA-2009-1364 公告中提及的一个漏洞影响。

  - Red Hat Enterprise Linux (RHEL) 5 上 2.16.0-56 之前的 GNOME Display Manager (GDM) 的 Red Hat 构建脚本遗漏了对 TCP Wrapper 的支持，这可能允许远程攻击者通过 XDMCP 连接绕过预期访问限制，这是与 CVE-2007-5079 不同的漏洞。(CVE-2009-2697)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
43789	CentOS 5：gdm（CESA-2009:1364）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
43789	CentOS 5 : gdm (CESA-2009:1364)	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
40840	RHEL 5 : gdm (RHSA-2009:1364)	Nessus	Red Hat Local Security Checks	2009/9/2	2021/1/14	medium
60652	Scientific Linux Security Update : gdm on SL5.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
181105	Oracle Linux 5 : gdm (ELSA-2009-1364)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/12/14	critical
60652	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の gdm	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
181105	Oracle Linux 5 : gdm (ELSA-2009-1364)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/12/14	critical
181105	Oracle Linux 5：gdm (ELSA-2009-1364)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/12/14	critical
60652	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 gdm	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
60652	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 gdm	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
181105	Oracle Linux 5：gdm (ELSA-2009-1364)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/12/14	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

critical

medium

critical

critical

medium

medium

critical