Tobias Schneider discovered that Spring-LDAP would allow authentication with an arbitrary password when the username is correct, no additional attributes are bound and when using LDAP BindAuthenticator with DefaultTlsDirContextAuthenticationStrategy as the authentication strategy and setting userSearch. This occurs because some LDAP vendors require an explicit operation for the LDAP bind to take effect.

For Debian 7 'Wheezy', these problems have been fixed in version 1.3.1.RELEASE-4+deb7u1.

We recommend that you upgrade your libspring-ldap-java packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Tobias Schneider discovered that libspring-ldap-java, a Java library for Spring-based applications using the Lightweight Directory Access Protocol, would under some circumstances allow authentication with a correct username but an arbitrary password.

Tobias Schneider氏は、ユーザー名が正しく、追加の属性がバインドされていない場合、DefaultTlsDirContextAuthenticationStrategyを認証戦略としてLDAP BindAuthenticatorを使用し、userSearchを設定する場合に、Spring-LDAPが任意のパスワードによる認証を許可することを発見しました。これが発生するのは、一部のLDAPベンダーがLDAP bindを有効にするために明示的な操作を必要とするためです。

Debian 7「Wheezy」では、これらの問題はバージョン1.3.1.RELEASE-4+deb7u1で修正されました。

お使いのlibspring-ldap-javaパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Tobias Schneider 發現使用輕量型目錄存取通訊協定之 Spring 型應用程式的 Java 程式庫 libspring-ldap-java，在某些情況下會容許正確的使用者名稱以任意密碼進行驗證。

Tobias Schneider氏は、軽量ディレクトリアクセスプロトコルを使用するSpringベースのアプリケーション用Javaライブラリであるlibspring-ldap-javaが、特定の状況下で、正しいユーザー名と任意のパスワードによる認証を許可することを発見しました。

Tobias Schneider 发现，当用户名正确，未绑定其他属性，并且将 LDAP BindAuthenticator 与 DefaultTlsDirContextAuthenticationStrategy 用作身份验证策略并设置 userSearch 时，Spring-LDAP 允许使用任意密码进行身份验证。出现此问题是因为某些 LDAP 供应商要求显式操作才能使 LDAP 绑定生效。针对 Debian 7“Wheezy”，这些问题已在版本 1.3.1.RELEASE-4+deb7u1 中修复。建议您升级 libspring-ldap-java 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Tobias Schneider 发现使用轻量级目录访问协议的基于 Spring 的应用程序的 Java 库 libspring-ldap-java 在某些情况下允许使用正确的用户名但同时使用任意密码进行身份验证。

Tobias Schneider 發現若沒有繫結其他屬性，且使用的 LDAP BindAuthenticator 是以 DefaultTlsDirContextAuthenticationStrategy 作為驗證策略並設定 userSearch，則 Spring-LDAP 會容許正確的使用者名稱以任意密碼進行驗證。會發生此問題是因為有些 LDAP 廠商規定必須進行明確操作，LDAP 繫結才能生效。針對 Debian 7「Wheezy」，這些問題已在 1.3.1.RELEASE-4+deb7u1 版本中修正。建議您升級 libspring-ldap-java 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
104683	Debian DLA-1180-1 : libspring-ldap-java security update	Nessus	Debian Local Security Checks	2017/11/20	2022/12/5	high
104752	Debian DSA-4046-1 : libspring-ldap-java - security update	Nessus	Debian Local Security Checks	2017/11/27	2022/12/5	high
104683	Debian DLA-1180-1: libspring-ldap-javaセキュリティ更新	Nessus	Debian Local Security Checks	2017/11/20	2022/12/5	high
104752	Debian DSA-4046-1：libspring-ldap-java - 安全性更新	Nessus	Debian Local Security Checks	2017/11/27	2022/12/5	high
104752	Debian DSA-4046-1 : libspring-ldap-java - セキュリティ更新	Nessus	Debian Local Security Checks	2017/11/27	2022/12/5	high
104683	Debian DLA-1180-1：libspring-ldap-java 安全更新	Nessus	Debian Local Security Checks	2017/11/20	2022/12/5	high
104752	Debian DSA-4046-1：libspring-ldap-java - 安全更新	Nessus	Debian Local Security Checks	2017/11/27	2022/12/5	high
104683	Debian DLA-1180-1：libspring-ldap-java 安全性更新	Nessus	Debian Local Security Checks	2017/11/20	2022/12/5	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high