1.3.4.8 版

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 389 目錄伺服器中發現一個無限迴圈弱點，其中，該伺服器無法正確處理意外關閉的用戶端連線。若遠端攻擊者可連線至伺服器，便可利用此瑕疵使目錄伺服器消耗過多 CPU，進而停止接受連線 (拒絕服務)。(CVE-2016-0741)

此項更新可修正下列錯誤：

- 先前，後端發生簡單分頁結果搜尋失敗時，簡單分頁結果插槽不會釋出。因此，連線物件中的簡單分頁結果插槽便可能會逐漸累積。透過此更新，搜尋失敗時，簡單分頁結果插槽會正確釋出，未使用的簡單分頁結果插槽也不會再遺留在連線物件中。

- 先前，使用 ldapmodify 命令刪除相同屬性的數個值時，在同一個作業期間，其中至少有一個值會再次新增，相等索引不會更新。因此，重新新增的屬性值精確搜尋不會傳回項目。索引程式碼的邏輯已修改，項目中至少有一個值變更時，索引便會更新，且重新新增的屬性值精確搜尋現也可傳回正確的項目。

- 在此更新之前，由於記憶體損毀，導致系統在 cleanAllRUV 工作執行時，會重複記錄假的 attrlist_replace 錯誤訊息。透過此更新，現會使用正確的記憶體複製函式 memmove，其可修正記憶體損毀。因此，在此狀況下不會再記錄錯誤訊息。

- 先前為了修正簡單分頁結果錯誤，對連線新增了一個獨占鎖定。因而在特定情況下造成自我鎖死。透過此更新，連線獨占鎖定已變更為重新進入類型，不會再發生自我鎖死。

- 先前，連線物件有時會取得不必要的鎖定，而其可能造成鎖死。現已套用修補程式，移除不必要的鎖定，不會再發生鎖死。

安裝此更新之後，389 伺服器服務將會自動重新啟動。

在 389 目錄伺服器中發現一個無限迴圈弱點，其中，該伺服器無法正確處理意外關閉的用戶端連線。若遠端攻擊者可連線至伺服器，便可利用此瑕疵使目錄伺服器消耗過多 CPU，進而停止接受連線 (拒絕服務)。

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 389-ds-base 套件，可修正一個安全性問題和數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

389 Directory Server 是 LDAP 3 版 (LDAPv3) 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 389 目錄伺服器中發現一個無限迴圈弱點，其中，該伺服器無法正確處理意外關閉的用戶端連線。若遠端攻擊者可連線至伺服器，便可利用此瑕疵使目錄伺服器消耗過多 CPU，進而停止接受連線 (拒絕服務)。(CVE-2016-0741)

此項更新可修正下列錯誤：

* 先前，後端發生簡單分頁結果搜尋失敗時，簡單分頁結果插槽不會釋出。因此，連線物件中的簡單分頁結果插槽便可能會逐漸累積。透過此更新，搜尋失敗時，簡單分頁結果插槽會正確釋出，未使用的簡單分頁結果插槽也不會再遺留在連線物件中。(BZ#1290725)

* 先前，使用 ldapmodify 命令刪除相同屬性的數個值時，在同一個作業期間，其中至少有一個值會再次新增，相等索引不會更新。因此，重新新增的屬性值精確搜尋不會傳回項目。索引程式碼的邏輯已修改，項目中至少有一個值變更時，索引便會更新，且重新新增的屬性值精確搜尋現也可傳回正確的項目。(BZ#1290726)

* 在此更新之前，由於記憶體損毀，導致系統在 cleanAllRUV 工作執行時，會重複記錄假的 attrlist_replace 錯誤訊息。透過此更新，現會使用正確的記憶體複製函式 memmove，其可修正記憶體損毀。因此，在此狀況下不會再記錄錯誤訊息。(BZ#1295684)

* 先前為了修正簡單分頁結果錯誤，對連線新增了一個獨占鎖定。因而在特定情況下造成自我鎖死。透過此更新，連線獨占鎖定已變更為重新進入類型，不會再發生自我鎖死。(BZ#1298105)

* 先前，連線物件有時會取得不必要的鎖定，而其可能造成鎖死。現已套用修補程式，移除不必要的鎖定，不會再發生鎖死。(BZ#1299346)

建議 389-ds-base 使用者升級至這些更新版套件，其可更正這些問題。安裝此更新之後，389 伺服器服務將會自動重新啟動。

來自 Red Hat 安全性公告 2016:0204：

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 389-ds-base 套件，可修正一個安全性問題和數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

389 Directory Server 是 LDAP 3 版 (LDAPv3) 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 389 目錄伺服器中發現一個無限迴圈弱點，其中，該伺服器無法正確處理意外關閉的用戶端連線。若遠端攻擊者可連線至伺服器，便可利用此瑕疵使目錄伺服器消耗過多 CPU，進而停止接受連線 (拒絕服務)。(CVE-2016-0741)

此項更新可修正下列錯誤：

* 先前，後端發生簡單分頁結果搜尋失敗時，簡單分頁結果插槽不會釋出。因此，連線物件中的簡單分頁結果插槽便可能會逐漸累積。透過此更新，搜尋失敗時，簡單分頁結果插槽會正確釋出，未使用的簡單分頁結果插槽也不會再遺留在連線物件中。(BZ#1290725)

* 先前，使用 ldapmodify 命令刪除相同屬性的數個值時，在同一個作業期間，其中至少有一個值會再次新增，相等索引不會更新。因此，重新新增的屬性值精確搜尋不會傳回項目。索引程式碼的邏輯已修改，項目中至少有一個值變更時，索引便會更新，且重新新增的屬性值精確搜尋現也可傳回正確的項目。(BZ#1290726)

* 在此更新之前，由於記憶體損毀，導致系統在 cleanAllRUV 工作執行時，會重複記錄假的 attrlist_replace 錯誤訊息。透過此更新，現會使用正確的記憶體複製函式 memmove，其可修正記憶體損毀。因此，在此狀況下不會再記錄錯誤訊息。(BZ#1295684)

* 先前為了修正簡單分頁結果錯誤，對連線新增了一個獨占鎖定。因而在特定情況下造成自我鎖死。透過此更新，連線獨占鎖定已變更為重新進入類型，不會再發生自我鎖死。(BZ#1298105)

* 先前，連線物件有時會取得不必要的鎖定，而其可能造成鎖死。現已套用修補程式，移除不必要的鎖定，不會再發生鎖死。(BZ#1299346)

建議 389-ds-base 使用者升級至這些更新版套件，其可更正這些問題。安裝此更新之後，389 伺服器服務將會自動重新啟動。

ID	名稱	產品	系列	已發布	已更新	嚴重性
89795	Fedora 22：389-ds-base-1.3.4.8-1.fc22 (2016-0609474cf6)	Nessus	Fedora Local Security Checks	2016/3/10	2021/1/11	high
88795	Scientific Linux 安全性更新：SL7.x x86_64 上的 389-ds-base	Nessus	Scientific Linux Local Security Checks	2016/2/17	2021/1/14	high
89797	Fedora 23：389-ds-base-1.3.4.8-1.fc23 (2016-40401300ed)	Nessus	Fedora Local Security Checks	2016/3/10	2021/1/11	high
89845	Amazon Linux AMI：389-ds-base (ALAS-2016-664)	Nessus	Amazon Linux Local Security Checks	2016/3/11	2018/4/18	high
88763	CentOS 7 : 389-ds-base (CESA-2016:0204)	Nessus	CentOS Local Security Checks	2016/2/17	2021/1/4	high
88782	Oracle Linux 7：389-ds-base (ELSA-2016-0204)	Nessus	Oracle Linux Local Security Checks	2016/2/17	2021/1/14	high
88790	RHEL 7 : 389-ds-base (RHSA-2016:0204)	Nessus	Red Hat Local Security Checks	2016/2/17	2019/10/24	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high