現已提供適用於 Red Hat Enterprise Linux 6 和 7 的更新版 pam 套件，可修正一個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

插入式驗證模組 (PAM) 提供一個系統，讓系統管理員無需重新編譯用於處理驗證之程式，便可設定驗證原則。

據發現，PAM 的 unix_pam 模組中，_unix_run_helper_binary() 函式可寫入封鎖管道，可能造成該函式無法回應。攻擊者若能向 unix_pam 模組提供大型密碼，就可利用此瑕疵列舉有效的使用者帳戶，或是在系統上造成拒絕服務。
(CVE-2015-3238)

Red Hat 要感謝 Trustwave SpiderLabs 的 Sebastien Macke 報告此問題。

建議所有 pam 使用者皆升級至這些更新版套件，其中包含可更正此問題的反向移植修補程式。

此 pam 更新可修正兩個安全性問題。

已修正這些安全性問題：

- CVE-2015-3238：允許使用 pam_unix 和 SELinux 發動 DoS 攻擊 (bsc#934920)。

- CVE-2013-7041：以區分密碼大小寫的方式比較密碼雜湊 (bsc#854480)。

已修正此非安全性問題：

- bsc#962220：/var/log/btmp 損毀時不發生失敗

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

USN-2935-1 已修正 PAM 中的弱點。此更新含有一個套件封裝變更，可防止在特定 multiarch 環境中進行升級。USN-2935-2 預定修正問題，但對 Ubuntu 12.04 LTS 而言並未完成。此更新可修正 Ubuntu 12.04 LTS 中的問題。

由此給您帶來的不便，我們深表歉意。

據發現，PAM pam_userdb 模組比較雜湊密碼時，並未正確使用區分大小寫方法。本機攻擊者可能利用此問題，更輕易地發動暴力密碼破解攻擊。此問題只會影響 Ubuntu 12.04 LTS 和 Ubuntu 14.04 LTS。(CVE-2013-7041)

Sebastian Krahmer 發現 PAM pam_timestamp 模組未正確執行篩選。本機攻擊者可利用此問題建立任意檔案，或可能繞過驗證。此問題只會影響 Ubuntu 12.04 LTS 和 Ubuntu 14.04 LTS。(CVE-2014-2583)

Sebastien Macke 發現 PAM pam_unix 模組未正確處理大型密碼。本機攻擊者可能在特定環境中利用此問題列舉使用者名稱，或是造成拒絕服務。(CVE-2015-3238)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201605-05 中所述的弱點影響 (Linux-PAM：多個弱點)

    在 Linux-PAM 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可造成拒絕服務、發動暴力密碼破解攻擊以及執行使用者名稱列舉。
  因應措施：

    目前尚無已知的因應措施。

此 pam 更新修复了两个安全问题。

修复了这些安全问题：

- CVE-2015-3238：允许使用 pam_unix 和 SELinux 发动 DoS 攻击 (bsc#934920)。

- CVE-2013-7041：以区分大小写的方式比较密码哈希 (bsc#854480)。

此非安全问题已得到修复：

- bsc#962220：/var/log/btmp 损坏时不发生失败

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

来自 Red Hat 安全公告 2015:1640：

更新后的 pam 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

可插拔认证模块 (PAM) 提供可供管理员设置认证策略的系统，无需重新编译程序即可处理认证。

已发现 PAM 的 unix_pam 模块的 _unix_run_helper_binary() 函数可以对阻断管道进行写入，这可能导致该函数失去响应。如果攻击者能够向 unix_pam 模块提供长密码，则可以利用此缺陷枚举用户帐户，或者在系统上造成拒绝服务。
(CVE-2015-3238)

Red Hat 在此感谢 Trustwave SpiderLabs 的 Sebastien Macke 报告此问题。

建议所有 pam 用户升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

更新后的 pam 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

可插拔认证模块 (PAM) 提供可供管理员设置认证策略的系统，无需重新编译程序即可处理认证。

已发现 PAM 的 unix_pam 模块的 _unix_run_helper_binary() 函数可以对阻断管道进行写入，这可能导致该函数失去响应。如果攻击者能够向 unix_pam 模块提供长密码，则可以利用此缺陷枚举用户帐户，或者在系统上造成拒绝服务。
(CVE-2015-3238)

Red Hat 在此感谢 Trustwave SpiderLabs 的 Sebastien Macke 报告此问题。

建议所有 pam 用户升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

USN-2935-1 修复了 PAM 中的漏洞。此更新包含一个封装变更，可防止在特定 multiarch 环境中进行升级。USN-2935-2 的预期目标是修复所述问题，但对 Ubuntu 12.04 LTS 而言并未完成任务。此更新修复了 Ubuntu 12.04 LTS 中的问题。

我们对不便之处表示抱歉。

已发现 PAM pam_userdb 模块比较哈希密码时，并未正确使用不区分大小写的方法。本地攻击者可能利用此问题，更轻易地发动暴力破解攻击。此问题仅影响 Ubuntu 12.04 LTS 和 Ubuntu 14.04 LTS。(CVE-2013-7041)

Sebastian Krahmer 发现 PAM pam_timestamp 模块未正确执行筛选。本地攻击者可利用此问题创建任意文件，或可能绕过认证。此问题仅影响 Ubuntu 12.04 LTS 和 Ubuntu 14.04 LTS。(CVE-2014-2583)

Sebastien Macke 发现 PAM pam_unix 模块未正确处理长密码。本地攻击者可能在特定环境中利用此问题枚举用户名，或是造成拒绝服务。(CVE-2015-3238)。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机受到 GLSA-201605-05 中所述漏洞的影响（Linux-PAM：多个漏洞）

    在 Linux-PAM 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可造成拒绝服务、发动暴力破解攻击以及执行用户名枚举。
  变通方案：

    目前无任何已知的变通方案。

ID	名稱	產品	系列	已發布	已更新	嚴重性
85530	RHEL 6 / 7：pam (RHSA-2015:1640)	Nessus	Red Hat Local Security Checks	2015/8/19	2019/10/24	medium
93163	SUSE SLES11 安全性更新：pam (SUSE-SU-2016:1645-1)	Nessus	SuSE Local Security Checks	2016/8/29	2021/1/19	medium
90021	Ubuntu 12.04 LTS：pam 迴歸 (USN-2935-3)	Nessus	Ubuntu Local Security Checks	2016/3/18	2023/1/12	medium
91378	GLSA-201605-05：Linux-PAM：多個弱點	Nessus	Gentoo Local Security Checks	2016/5/31	2021/1/11	medium
93163	SUSE SLES11 安全更新：pam (SUSE-SU-2016:1645-1)	Nessus	SuSE Local Security Checks	2016/8/29	2021/1/19	medium
85526	Oracle Linux 6 / 7：pam (ELSA-2015-1640)	Nessus	Oracle Linux Local Security Checks	2015/8/19	2024/10/22	medium
85530	RHEL 6 / 7：pam (RHSA-2015:1640)	Nessus	Red Hat Local Security Checks	2015/8/19	2019/10/24	medium
90021	Ubuntu 12.04 LTS：pam 回归 (USN-2935-3)	Nessus	Ubuntu Local Security Checks	2016/3/18	2023/1/12	medium
91378	GLSA-201605-05 : Linux-PAM：多个漏洞	Nessus	Gentoo Local Security Checks	2016/5/31	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium