現已提供適用於 Red Hat Enterprise Linux 6 的更新版 389-ds-base 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

389 Directory Server 是 LDAPv3 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 389 Directory Server 處理密碼變更的方式中發現一個瑕疵。如果 LDAP 使用者已變更其密碼，且目錄伺服器自從該變更之後尚未重新啟動，則能夠連結至目錄伺服器的攻擊者可透過 'unhashed#user#password' 屬性取得該使用者密碼的純文字版本。
(CVE-2012-2678)

據發現，當變更 LDAP 使用者的密碼，且啟用稽核記錄 (其預設為停用) 時，新密碼會以純文字型式寫入至稽核記錄中。此更新引入了新組態參數 'nsslapd-auditlog-logging-hide-unhashed-pw'，當將其設定為「開啟」(預設選項) 時，可防止 389 Directory Server 將純文字密碼寫入至稽核記錄。此選項可在「/etc/dirsrv/slapd-[ID]/dse.ldif」中設定。(CVE-2012-2746)

建議所有 389-ds-base 的使用者皆升級至這些更新版套件，其可解決這些問題。安裝此更新之後，389 伺服器服務將會自動重新啟動。

現已提供適用於 Red Hat Directory Server 8 的更新版 redhat-ds-base 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Directory Server 是 LDAPv3 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 Red Hat Directory Server 處理密碼變更的方式中發現一個瑕疵。如果 LDAP 使用者已變更其密碼，且目錄伺服器自從該變更之後尚未重新啟動，則能夠連結至目錄伺服器的攻擊者可透過 'unhashed#user#password' 屬性取得該使用者密碼的純文字版本。
(CVE-2012-2678)

據發現，當變更 LDAP 使用者的密碼，且啟用稽核記錄 (其預設為停用) 時，新密碼會以純文字型式寫入至稽核記錄中。此更新引入了一個新組態參數 'nsslapd-auditlog-logging-hide-unhashed-pw'，將其設定為「開啟」(預設選項) 時，可防止 Red Hat Directory Server 將純文字密碼寫入至稽核記錄。此選項可在 '/etc/dirsrv/ slapd-[ID]/dse.ldif' 中設定。(CVE-2012-2746)

建議所有 Red Hat Directory Server 8 使用者皆升級至這些更新版套件，其可解決這些問題。安裝此更新後，dirsrv 服務隨即自動重新啟動。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2012:0997 公告中提及的多個弱點影響。

  - rhds/389：純文字密碼洩漏瑕疵 (CVE-2012-2678)

  - rhds/389：稽核記錄中的純文字密碼洩漏 (CVE-2012-2746)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

來自 Red Hat 安全性公告 2012:0997：

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 389-ds-base 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

389 Directory Server 是 LDAPv3 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 389 Directory Server 處理密碼變更的方式中發現一個瑕疵。如果 LDAP 使用者已變更其密碼，且目錄伺服器自從該變更之後尚未重新啟動，則能夠連結至目錄伺服器的攻擊者可透過 'unhashed#user#password' 屬性取得該使用者密碼的純文字版本。
(CVE-2012-2678)

據發現，當變更 LDAP 使用者的密碼，且啟用稽核記錄 (其預設為停用) 時，新密碼會以純文字型式寫入至稽核記錄中。此更新引入了新組態參數 'nsslapd-auditlog-logging-hide-unhashed-pw'，當將其設定為「開啟」(預設選項) 時，可防止 389 Directory Server 將純文字密碼寫入至稽核記錄。此選項可在「/etc/dirsrv/slapd-[ID]/dse.ldif」中設定。(CVE-2012-2746)

建議所有 389-ds-base 的使用者皆升級至這些更新版套件，其可解決這些問題。安裝此更新之後，389 伺服器服務將會自動重新啟動。

389 Directory Server 是 LDAPv3 相容伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令行公用程式。

在 389 Directory Server 處理密碼變更的方式中發現一個瑕疵。如果 LDAP 使用者已變更其密碼，且目錄伺服器自從該變更之後尚未重新啟動，則能夠連結至目錄伺服器的攻擊者可透過 'unhashed#user#password' 屬性取得該使用者密碼的純文字版本。
(CVE-2012-2678)

據發現，當變更 LDAP 使用者的密碼，且啟用稽核記錄 (其預設為停用) 時，新密碼會以純文字型式寫入至稽核記錄中。此更新引入了新組態參數 'nsslapd-auditlog-logging-hide-unhashed-pw'，當將其設定為「開啟」(預設選項) 時，可防止 389 Directory Server 將純文字密碼寫入至稽核記錄。此選項可在「/etc/dirsrv/slapd-[ID]/dse.ldif」中設定。(CVE-2012-2746)

建議所有 389-ds-base 的使用者皆升級至這些更新版套件，其可解決這些問題。安裝此更新之後，389 伺服器服務將會自動重新啟動。

ID	名稱	產品	系列	已發布	已更新	嚴重性
59936	CentOS 6 : 389-ds-base (CESA-2012:0997)	Nessus	CentOS Local Security Checks	2012/7/11	2021/1/4	low
78926	RHEL 5 : redhat-ds-base (RHSA-2012:1041)	Nessus	Red Hat Local Security Checks	2014/11/8	2024/6/3	medium
59636	RHEL 6：389-ds-base (RHSA-2012:0997)	Nessus	Red Hat Local Security Checks	2012/6/21	2024/4/21	medium
68565	Oracle Linux 6：389-ds-base (ELSA-2012-0997)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	low
61334	Scientific Linux 安全性更新：389-ds-base on SL6.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	low

偵測

搜尋 Plugin

low

medium

medium

low

low