1.3.3.10 版含有一個針對 CVE-2015-1854 的修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 389-ds-base 套件，可修正一個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

389 Directory Server 是 LDAPv3 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 Red Hat Directory Server 用於執行 modrdn 作業授權的方法中，找到一個瑕疵。若未經驗證的攻擊者可向目錄伺服器發出 ldapmodrdn 呼叫，就可利用此瑕疵，對目錄伺服器中的項目執行未經授權的修改。(CVE-2015-1854)

此問題是由 Red Hat 的 Simo Sorce 發現。

建議所有 389-ds-base 使用者皆升級至這些更新版套件，其中包含可更正此問題的反向移植修補程式。
安裝此更新之後，389 伺服器服務將會自動重新啟動。

在 Directory Server 執行 modrdn 作業授權的方式中發現一個瑕疵。若未經驗證的攻擊者可向目錄伺服器發出 ldapmodrdn 呼叫，就可利用此瑕疵，對目錄伺服器中的項目執行未經授權的修改。(CVE-2015-1854)

安裝此更新之後，389 伺服器服務將會自動重新啟動。

在 modrdn 作業的授權中發現一個瑕疵。若未經驗證的攻擊者可向目錄伺服器發出 ldapmodrdn 呼叫，就可利用此瑕疵，對目錄伺服器中的項目執行未經授權的修改。

遠端 Oracle Linux 7 主機上安裝的套件受到 ELSA-2015-0895 公告中提及的一個弱點影響。

    [1.3.3.1-16]
    - 版本 1.3.3.1-16
    - 解決錯誤 1212894 - CVE-2015-1854 389ds-basemodrdn 的存取控制繞過

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

CVE-2015-1854 在進行 modrdn 的授權作業時發現一個缺陷。若未經驗證的攻擊者可向目錄伺服器發出 ldapmodrdn 呼叫，就可對目錄伺服器中的項目執行未經授權的修改。

CVE-2017-15134 未正確處理 slapd/util.c 中 slapi_filter_sprintf() 的搜尋篩選器可導致遠端伺服器當機和拒絕服務。

CVE-2018-1054 啟用 <attribute_name> 上的讀取存取權後，collate.c 中 SetUnicodeStringFromUTF_8 函式的一個缺陷可導致超出邊界記憶體作業。未經授權的使用者可利用此缺陷導致伺服器當機。

CVE-2018-1089 任何使用者 (匿名或經驗證) 可使用帶有非常長的篩選器值的特製 ldapsearch 查詢，造成 ns-slapd 損毀。

CVE-2018-10850 由於發生爭用情形，伺服器可能會在加速模式 (由於高流量) 或當工作者在讀取緩衝區中讀取多個要求時當機 (more_data)。因此，匿名的攻擊者可觸發拒絕服務。

針對 Debian 8「Jessie」，這些問題已在 1.3.3.5-4+deb8u1 版本中修正。

建議您升級 389-ds-base 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
83242	Fedora 22：389-ds-base-1.3.3.10-1.fc22 (2015-7206)	Nessus	Fedora Local Security Checks	2015/5/5	2021/1/11	high
83132	RHEL 7 : 389-ds-base (RHSA-2015:0895)	Nessus	Red Hat Local Security Checks	2015/4/29	2021/2/5	high
83174	Scientific Linux 安全性更新：重要：SL7.x srpm/x86_64 上的 389-Ds-Base 安全性更新	Nessus	Scientific Linux Local Security Checks	2015/5/1	2021/1/14	high
83977	Amazon Linux AMI：389-ds-base (ALAS-2015-538)	Nessus	Amazon Linux Local Security Checks	2015/6/4	2018/4/18	high
83131	Oracle Linux 7：389-ds-base (ELSA-2015-0895)	Nessus	Oracle Linux Local Security Checks	2015/4/29	2025/4/29	high
111086	Debian DLA-1428-1：389-Ds-base 安全性更新	Nessus	Debian Local Security Checks	2018/7/16	2024/9/4	high
83118	CentOS 7 : 389-ds-base (CESA-2015:0895)	Nessus	CentOS Local Security Checks	2015/4/29	2021/1/4	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high