sssd が、Upstream リリース 1.12.2 に更新されました（バグ修正リース、bnc#900159）

変更：

- IPA プロバイダーが User Private Groups を適切にフェッチしないことによる回帰を修正しました

- 間違ったプリンシパルの使用が引き起こされた GPO アクセスコントロールの重大なバグが修正されました。

- 特定の PAM サービスが特定の SSSD ドメインに接続されないように制限する必要があるデプロイメントで、複数の新しいオプションが利用可能です。詳細については、sssd.conf(5) man ページの pam_trusted_users および pam_public_domains オプションに関する説明と、pam_sss(8) man ページのドメインオプションに関する説明を参照してください。

- SSSD が、信頼できる AD ドメインでのセットアップにおいて IPA クライアントとして動作している時、信頼できる AD ドメインからのグループメンバーまたはユーザーに対する完全なグループメンバーシップを返すことができます。

- IPA の「views」機能のサポート。

- GPO アクセスコントロールはさらに拡張され、オフラインでのアクセスコントロールの決定、および　Linux PAM サービス への Windows のログオンの権利のマッピングが可能になりました。

- SSSD は現在、rpc.idmapd daemon、sss_rpcidmapd(5) 用のプラグインを出荷しています。

- MIT Kerberos localauth プラグインが SSSD に追加されました。このプラグインは IPA-AD 信頼シナリオでプリンシパルをユーザー名に変換するのをサポートし、krb5.conf 構成の簡略化を可能にします。

- libwbclient プラグイン実装が SSSD の一部となりました。主要目的は、SID で識別されたアクティブディレクトリのユーザーとグループを、ファイルサーバーのユースケースに対する POSIX ユーザーとグループにマップすることです。

- アクティブディレクトリのユーザーは、ユーザーログオン名を使ってログインできます。

- sss_cache ツールは拡張され、SSH ホストキーを無効化できるようになりました。

- 完全な POSIX 情報のないグループは、グループメンバーシップの登録に使用できるようになりました（CVE-2014-0249）。

- オフラインからオンラインへの状態移行の検出が改善され、SSSD がオフライン時のタイムアウトが減少しました。

- アクティブディレクトリのプロバイダーは、Windows Server 2012 R 2 を適切に検出するようになりました。以前のバージョンは、2012 R2 を伴うより遅い AD 以外のパスにフォールバックします。

- SSSD が AD クライアントとして動作するデプロイメントに関連する、その他複数のバグが修正されました。

sssd was updated to new upstream release 1.12.2 (bugfix release, bnc#900159)

Changes :

  - Fixed a regression where the IPA provider did not fetch     User Private Groups correctly

  - An important bug in the GPO access control which     resulted in a wrong principal being used, was fixed.

  - Several new options are available for deployments that     need to restrict a certain PAM service from connecting     to a certain SSSD domain. For more details, see the     description of pam_trusted_users and pam_public_domains     options in the sssd.conf(5) man page and the domains     option in the pam_sss(8) man page.

  - When SSSD is acting as an IPA client in setup with     trusted AD domains, it is able to return group members     or full group memberships for users from trusted AD     domains.

  - Support for the 'views' feature of IPA.

  - The GPO access control was further enhanced to allow the     access control decisions while offline and map the     Windows logon rights onto Linux PAM services.

  - The SSSD now ships a plugin for the rpc.idmapd daemon,     sss_rpcidmapd(5).

  - A MIT Kerberos localauth plugin was added to SSSD. This     plugin helps translating principals to user names in     IPA-AD trust scenarios, allowing the krb5.conf     configuration to be less complex.

  - A libwbclient plugin implementation is now part of the     SSSD. The main purpose is to map Active Directory users     and groups identified by their SID to POSIX users and     groups for the file-server use-case.

  - Active Directory users ca nnow use their User Logon Name     to log in.

  - The sss_cache tool was enhanced to allow invalidating     the SSH host keys.

  - Groups without full POSIX information can now be used to     enroll group membership (CVE-2014-0249).

  - Detection of transition from offline to online state was     improved, resulting in fewer timeouts when SSSD is     offline.

  - The Active Directory provider now correctly detects     Windows Server 2012 R2. Previous versions would fall     back to the slower non-AD path with 2012 R2.

  - Several other bugs related to deployments where SSSD is     acting as an AD client were fixed.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - System Security Services Daemon（SSSD） 1.11.6 は、非 POSIX グループがグループメンバーシップチェーンにある場合、グループメンバーシップを適切に識別しません。これにより、ローカルユーザーは、詳細不明なベクトルを介してアクセス制限をバイパスすることができます。 （CVE-2014-0249）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 當非 POSIX 群組位於群組成員資格鏈中時，系統安全性服務程序 (SSSD) 1.11.6 未正確識別群組成員資格，進而允許本機使用者透過不明向量繞過存取限制。 (CVE-2014-0249)

請注意，Nessus 依賴供應商報告的套件存在。

sssd 已更新至新的上游版本 1.12.2 (錯誤修正版本，bnc#900159)

變更：

- 修正 IPA 提供者未正確擷取使用者私人群組而發生的一個迴歸

- GPO 存取控制中有一個導致使用錯誤主體的重要錯誤，此錯誤已經修正。

- 現有數個新選項可供部署，其需要設限禁止特定 PAM 服務連線至特定 SSSD 網域。如需更多詳細資料，請參閱 sssd.conf(5) 手冊頁中 pam_trusted_users 和 pam_public_domains 選項的描述，以及 pam_sss(8) 手冊頁中網域選項的描述。

- 在受信任之 AD 網域的設定中，將 SSSD 做為 IPA 用戶端時，可從受信任的 AD 網域針對使用者傳回群組成員或完整群組成員資格。

- IPA「瀏覽」功能支援。

- 進一步增強 GPO 存取控制，允許於離線狀態進行存取控制決策，並在 Linux PAM 服務中對應 Windows 登入權限。

- SSSD 現已隨附適用於 rpc.idmapd 程序 sss_rpcidmapd(5) 的外掛程式。

- 將 MIT Kerberos localauth 外掛程式新增至 SSSD。此外掛程式有助於在 IPA-AD 信任的情況下，將主體轉譯為使用者名稱，進而簡化 krb5.conf 的組態。

- libwbclient 外掛程式實作現已屬於 SSSD 的一部分。主要目的是將 SID 識別的 Active Directory 使用者和群組對應到 POSIX 使用者和群組，以供檔案伺服器使用。

- Active Directory 使用者現可用自己的使用者登入名稱登入。

- sss_cache 工具已增強，可使 SSH 主機金鑰失效。

- 現可使用不具完整 POSIX 資訊的群組註冊群組成員資格 (CVE-2014-0249)。

- 改善從離線轉換成線上狀態的偵測，進而減少 SSSD 離線時的逾時情況。

- Active Directory 提供者現可正確偵測 Windows Server 2012 R2。先前版本在使用 2012 R2 時會回復為較慢的非 AD 路徑。

- 修正數個與 SSSD 做為 AD 用戶端進行部署有關的其他錯誤。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当非 POSIX 群组位于群组成员身份链中时，系统安全服务后台程序 (SSSD) 1.11.6 未正确识别群组成员身份，从而允许本地用户通过不明矢量绕过访问限制。 (CVE-2014-0249)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

This update for sssd fixes one security issue and three bugs. The following vulnerability was fixed :

  - CVE-2014-0249: Incorrect expansion of group membership     when encountering a non-POSIX group. (bsc#880245) The     following non-security fixes were also included :

  - Prevent crashes of statically linked binaries using     getpwuid when sssd is used and nscd is turned off or has     caching disabled. (bsc#993582)

  - Add logrotate configuration to prevent log files from     growing too large when running with debug mode enabled.
    (bsc#1004220)

  - Order sudo rules by the same logic used by the native     LDAP support from sudo. (bsc#1002973)

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for sssd fixes one security issue and three bugs.

The following vulnerability was fixed :

  - CVE-2014-0249: Incorrect expansion of group membership     when encountering a non-POSIX group. (bsc#880245)

The following non-security fixes were also included :

  - Prevent crashes of statically linked binaries using     getpwuid when sssd is used and nscd is turned off or has     caching disabled. (bsc#993582)

  - Add logrotate configuration to prevent log files from     growing too large when running with debug mode enabled.
    (bsc#1004220)

  - Order sudo rules by the same logic used by the native     LDAP support from sudo. (bsc#1002973)

This update was imported from the SUSE:SLE-12-SP1:Update update project.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The System Security Services Daemon (SSSD) 1.11.6 does not properly identify group membership when a non-     POSIX group is in a group membership chain, which allows local users to bypass access restrictions via     unspecified vectors. (CVE-2014-0249)

Note that Nessus relies on the presence of the package as reported by the vendor.

sssd 已更新到新上游版本 1.12.2（缺陷补丁版本，bnc#900159）

变更：

- 修复了以下回归：IPA 提供程序未正确获取用户私人组

- 修复了 GPO 访问控制中的一个重要缺陷，该缺陷将造成使用错误的主体。

- 为需要限制特定 PAM 服务连接到特定 SSSD 域的部署提供了若干新选项。有关更多详细信息，请参阅 sssd.conf(5) 手册页中的 pam_trusted_users 和 pam_public_domains 选项以及 pam_sss(8) 手册页中的 domains 选项的描述。

- SSSD 在采用受信任的 AD 域的设置中充当 IPA 客户端时，可以从受信任的 AD 域返回用户的群组成员或完整群组成员资格。

- 对 IPA 的“视图”功能的支持。

- GPO 访问控制已进一步增强，现在允许脱机时做出访问控制决策，还允许将 Windows 登录权限映射到 Linux PAM 服务。

- SSSD 现在提供一个适用于 rpc.idmapd 后台程序的插件 (sss_rpcidmapd(5))。

- 向 SSSD 添加了一个 MIT Kerberos 本地认证插件。此插件在 IPA-AD 信任应用场景中帮助将主体转换为用户名，从而简化 krb5.conf 配置。

- 现在，SSSD 中包含 libwbclient 插件实现。主要目的是将 SID 确定的 Active Directory 用户和群组映射到文件服务器使用案例的 POSIX 用户和群组。

- Active Directory 用户现在可使用自己的登录名称登录。

- sss_cache 工具已增强，现在允许让 SSH 主机密钥失效。

- 无完整 POSIX 信息的群组现在可用于控制群组成员资格 (CVE-2014-0249)。

- 改进了脱机到联机状态转换的检测，从而 SSSD 脱机时产生的超时更少。

- Active Directory 提供程序现在可正确检测 Windows Server 2012 R2。以前版本将通过 2012 R2 回退到较慢的非 AD 路径。

- 修复了与 SSSD 充当 AD 客户端的部署相关的多个其他缺陷。

このsssdの更新では、1つのセキュリティの問題と3つのバグが修正されます。次の脆弱性が修正されました：

  - CVE-2014-0249：非POSIXグループが存在する場合にグループメンバーシップが不適切に拡張されます。（bsc#880245）次のセキュリティ以外の修正も含まれていました：

  - sssdが使用され、nscdがオフになっているか、キャッシュが無効になっている場合に、getpwuidを使用して静的にリンクされたバイナリのクラッシュを防止します。（bsc#993582）

  - デバッグモードを有効にして実行するときにログファイルが大きくなりすぎることを防ぐために、logrotate構成を追加します。
    （bsc#1004220）

  - sudoからのネイティブLDAPサポートで使用されるものと同じロジックでsudoルールを順序付けします。（bsc#1002973）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このsssd用の更新プログラムでは、1つのセキュリティの問題と3つのバグが修正されます。

次の脆弱性が修正されました：

  - CVE-2014-0249：非POSIXグループが存在する場合にグループメンバーシップが不適切に拡張されます（bsc#880245）。

次のセキュリティ以外の修正も含まれていました：

  - sssdが使用され、nscdがオフになっているか、キャッシュが無効になっている場合に、getpwuidを使用して静的にリンクされたバイナリのクラッシュを防止します。 （bsc#993582）

  - デバッグモードを有効にして実行するときにログファイルが大きくなりすぎることを防ぐために、logrotate構成を追加します。
    （bsc#1004220）

  -sudoからのネイティブLDAPサポートで使用されるものと同じロジックでsudoルールを順序付けします。（bsc#1002973）

この更新はSUSEからインポートされました：SLE-12-SP1：更新プロジェクトを更新します。

ID	名稱	產品	系列	已發布	已更新	嚴重性
79225	openSUSE セキュリティ更新：sssd（openSUSE-SU-2014:1407-1）	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	low
79225	openSUSE Security Update : sssd (openSUSE-SU-2014:1407-1)	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	low
218086	Linux Distros のパッチ未適用の脆弱性: CVE-2014-0249	Nessus	Misc.	2025/3/4	2025/3/4	medium
218086	Linux Distros 未修補弱點：CVE-2014-0249	Nessus	Misc.	2025/3/4	2025/3/4	medium
79225	openSUSE 安全性更新：sssd (openSUSE-SU-2014:1407-1)	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	low
218086	Linux Distros 未修补的漏洞: CVE-2014-0249	Nessus	Misc.	2025/3/4	2025/3/4	medium
94275	SUSE SLED12 / SLES12 Security Update : sssd (SUSE-SU-2016:2579-1)	Nessus	SuSE Local Security Checks	2016/10/26	2021/1/6	low
94312	openSUSE Security Update : sssd (openSUSE-2016-1238)	Nessus	SuSE Local Security Checks	2016/10/27	2021/1/19	low
218086	Linux Distros Unpatched Vulnerability : CVE-2014-0249	Nessus	Misc.	2025/3/4	2025/3/4	medium
79225	openSUSE 安全更新：sssd (openSUSE-SU-2014:1407-1)	Nessus	SuSE Local Security Checks	2014/11/13	2021/1/19	low
94275	SUSE SLED12 / SLES12セキュリティ更新プログラム：sssd（SUSE-SU-2016:2579-1）	Nessus	SuSE Local Security Checks	2016/10/26	2021/1/6	low
94312	openSUSEセキュリティ更新プログラム：sssd（openSUSE-2016-1238）	Nessus	SuSE Local Security Checks	2016/10/27	2021/1/19	low

偵測

搜尋 Plugin

low

low

medium

medium

low

medium

low

low

medium

low

low

low