更新版 augeas 套件可修正安全性弱點：

更新組態檔時，在 Augeas 處理組態檔的方式中發現多個瑕疵。若應用程式使用 Augeas 來更新其他使用者可寫入之目錄中的組態檔 (例如以 root 身分執行的應用程式，更新了屬於非 root 服務使用者之目錄中的檔案)，則可因遭到誘騙而覆寫任意檔案，或是透過符號連結或掛載點攻擊來洩漏資訊 (CVE-2012-0786、CVE-2012-0787)。

建立新組態檔時，在 Augeas 處理特定 umask 設定的方式中發現一個瑕疵。此瑕疵可導致任何人皆可寫入所建立的組態檔，進而允許無權限的本機使用者修改其中的內容 (CVE-2013-6412)。

Augeas 已更新，修正了一個符號連結覆寫問題。
(CVE-2012-0786 / CVE-2013-6412)

此外，「augtool -s 設定失敗」錯誤也已修正。
(bnc#876044)

此外，多重路徑組態的剖析也已修正。
bnc#871323

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 augeas 套件，可修正兩個安全性問題、數個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Augeas 為用於編輯組態的公用程式。Augeas 會剖析原生格式的組態檔，並將其轉換為樹狀結構。組態的變更方式為操控此樹狀結構，再將其存回原生組態檔中。Augeas 也會將‘lenses’用作基礎建構區塊，以從檔案至 Augeas 樹狀結構及反向操作中建立對應。

更新組態檔時，在 Augeas 處理組態檔的方式中發現多個瑕疵。若應用程式使用 Augeas 來更新其他使用者可寫入之目錄中的組態檔 (例如以 root 身分執行的應用程式，更新了屬於非 root 服務使用者之目錄中的檔案)，則可因遭到誘騙而覆寫任意檔案，或是透過符號連結或掛載點攻擊來洩漏資訊。(CVE-2012-0786、CVE-2012-0787)

augeas 套件已升級至 1.0.0 上游版本，相較於先前的版本，此版本提供幾個錯誤修正與增強功能。(BZ#817753)

此更新也可修正下列錯誤：

* 在先前的版本中，XML 屬性中若使用單引號，Augeas 無法使用 XML lens 剖析檔案。已提供上游修補程式，可確保系統將單引號處理為有效字元，且剖析不再會失敗。(BZ#799885)

* 此更新之前的版本中，Augeas 無法設定 vsftpd.conf 檔案中的 'require_ssl_reuse' 選項。更新版修補程式將 vsftpd lens 修正為可正確識別此選項，因而修正了此錯誤。(BZ#855022)

* 之前，XML lens 不支援非 Unix 行結尾。
因此 Augeas 無法載入任何含有這類行結尾的檔案。XML lens 已修正為可處理含有 CRLF 行結尾的檔案，因而修正了此錯誤。(BZ#799879)

* 之前，Augeas 無法剖析選項指示詞中「=」字元前後有空格的 modprobe.conf 檔案。modprobe lens 已更新，且剖析不再會失敗。(BZ#826752)

建議所有 Augeas使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

在儲存將 augeas 暴露於符號連結攻擊的組態檔時，在　augeas 中發現多個爭用情形。攻擊者會要求在組態檔所在的目錄寫入存取。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

更新組態檔時，在 Augeas 處理組態檔的方式中發現多個瑕疵。若應用程式使用 Augeas 來更新其他使用者可寫入之目錄中的組態檔 (例如以 root 身分執行的應用程式，更新了屬於非 root 服務使用者之目錄中的檔案)，則可因遭到誘騙而覆寫任意檔案，或是透過符號連結或掛載點攻擊來洩漏資訊。(CVE-2012-0786、CVE-2012-0787)

augeas 套件已升級至 1.0.0 上游版本，相較於先前的版本，此版本提供幾個錯誤修正與增強功能。

此更新也可修正下列錯誤：

- 之前，XML 屬性中若使用單引號，Augeas 會無法使用 XML lens 剖析檔案。已提供上游修補程式，可確保系統將單引號處理為有效字元，且剖析不再會失敗。

- 在此更新之前，Augeas 無法設定 vsftpd.conf 檔案中的 'require_ssl_reuse' 選項。更新版修補程式將 vsftpd lens 修正為可正確識別此選項，因而修正了此錯誤。

- 之前，XML lens 不支援非 Unix 行結尾。因此 Augeas 無法載入任何含有這類行結尾的檔案。XML lens 已修正為可處理含有 CRLF 行結尾的檔案，因而修正了此錯誤。

- 之前，Augeas 無法剖析選項指示詞中 「=」字元前後有空格的 modprobe.conf 檔案。modprobe lens 已更新，且剖析不再會失敗。

來自 Red Hat 安全性公告 2013:1537：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 augeas 套件，可修正兩個安全性問題、數個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Augeas 為用於編輯組態的公用程式。Augeas 會剖析原生格式的組態檔，並將其轉換為樹狀結構。組態的變更方式為操控此樹狀結構，再將其存回原生組態檔中。Augeas 也會將‘lenses’用作基礎建構區塊，以從檔案至 Augeas 樹狀結構及反向操作中建立對應。

更新組態檔時，在 Augeas 處理組態檔的方式中發現多個瑕疵。若應用程式使用 Augeas 來更新其他使用者可寫入之目錄中的組態檔 (例如以 root 身分執行的應用程式，更新了屬於非 root 服務使用者之目錄中的檔案)，則可因遭到誘騙而覆寫任意檔案，或是透過符號連結或掛載點攻擊來洩漏資訊。(CVE-2012-0786、CVE-2012-0787)

augeas 套件已升級至 1.0.0 上游版本，相較於先前的版本，此版本提供幾個錯誤修正與增強功能。(BZ#817753)

此更新也可修正下列錯誤：

* 在先前的版本中，XML 屬性中若使用單引號，Augeas 無法使用 XML lens 剖析檔案。已提供上游修補程式，可確保系統將單引號處理為有效字元，且剖析不再會失敗。(BZ#799885)

* 此更新之前的版本中，Augeas 無法設定 vsftpd.conf 檔案中的 'require_ssl_reuse' 選項。更新版修補程式將 vsftpd lens 修正為可正確識別此選項，因而修正了此錯誤。(BZ#855022)

* 之前，XML lens 不支援非 Unix 行結尾。
因此 Augeas 無法載入任何含有這類行結尾的檔案。XML lens 已修正為可處理含有 CRLF 行結尾的檔案，因而修正了此錯誤。(BZ#799879)

* 之前，Augeas 無法剖析選項指示詞中「=」字元前後有空格的 modprobe.conf 檔案。modprobe lens 已更新，且剖析不再會失敗。(BZ#826752)

建議所有 Augeas使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

更新組態檔時，在 Augeas 處理組態檔的方式中發現多個瑕疵。若應用程式使用 Augeas 來更新其他使用者可寫入之目錄中的組態檔 (例如以 root 身分執行的應用程式，更新了屬於非 root 服務使用者之目錄中的檔案)，則可因遭到誘騙而覆寫任意檔案，或是透過符號連結或掛載點攻擊來洩漏資訊。(CVE-2012-0786、CVE-2012-0787)

ID	名稱	產品	系列	已發布	已更新	嚴重性
72134	Mandriva Linux 安全性公告：augeas (MDVSA-2014:022)	Nessus	Mandriva Local Security Checks	2014/1/27	2021/1/6	medium
77196	SuSE 11.3 安全性更新：augeas (SAT 修補程式編號 9574)	Nessus	SuSE Local Security Checks	2014/8/14	2021/1/19	medium
71000	RHEL 6 : augeas (RHSA-2013:1537)	Nessus	Red Hat Local Security Checks	2013/11/21	2021/1/14	low
82176	Debian DLA-28-1：augeas 安全性更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
71192	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 augeas	Nessus	Scientific Linux Local Security Checks	2013/12/4	2021/1/14	low
71102	Oracle Linux 6 : augeas (ELSA-2013-1537)	Nessus	Oracle Linux Local Security Checks	2013/11/27	2021/1/14	low
71267	Amazon Linux AMI : augeas (ALAS-2013-250)	Nessus	Amazon Linux Local Security Checks	2013/12/10	2018/4/18	low
79157	CentOS 6 : augeas (CESA-2013:1537)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	low

偵測

搜尋 Plugin

medium

medium

low

medium

low

low

low

low