針對「XMPP 伺服器回撥實作弱點」的隨附修補程式

http://xmpp.org/resources/security-notices/server-dialback/

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

XMPP Standards Foundation 報告：

部分 XMPP 伺服器回撥通訊協定實作 (RFC 3920/XEP-0220) 尚未檢查回撥回應，因而無法確保驗證的結果與要求相互關聯。

攻擊端伺服器可在與易受影響的伺服器實作通訊時，偽造一或多個網域，因而繞過內建到伺服器回撥通訊協定中的防護。

遠端 Mac OS X 10.8 主機上安裝的 OS X Server 為 2.1.1 之前的版本。因此，該應用程式受到以下弱點影響：

  - 在 PostgreSQL 中的 xml2 contrib 模組已啟用的情況下，處理特製的 XSLT 文件時，無權限的資料庫使用者可透過執行 PostgreSQL 伺服器所需之權限，讀取或寫入任意檔案。(CVE-2012-3488)

  - 由於「xml_parse()」嘗試擷取解決 XML 值中 DTD 和實體參照時所需的外部檔案或 URL，導致無權限的資料庫使用者可透過執行 PostgreSQL 伺服器所需之權限，讀取任意檔案。(CVE-2012-3489)

  - 由於 Jabber 伺服器處理來路不明的 XMPP 伺服器回撥回應，導致惡意的 XMPP 伺服器可透過「驗證回應」或「授權回應」偽造網域。(CVE-2012-3525)

針對「XMPP 伺服器回撥實作弱點」的隨附修補程式

http://xmpp.org/resources/security-notices/server-dialback/

systemd 指令碼的修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機執行的 Mac OS X 10.6 或 10.7 版本並未套用安全性更新 2013-001。此更新包含下列元件的多個安全性相關修正：

- Apache
 - CoreTypes (僅限 10.7 版)
 - International Components for Unicode
 - Identity Services (僅限 10.7 版)
 - ImageIO
 - Messages Server (僅限伺服器)
 - PDFKit
 - Podcast Producer Server (僅限伺服器)
 - PostgreSQL (僅限伺服器)
 - Profile Manager (僅限 10.7 版伺服器)
 - QuickTime
 - Ruby (僅限 10.6 版伺服器)
 - Security
 - Software Update
 - Wiki Server (僅限 10.7 版伺服器)

請注意，更新亦會執行惡意程式碼移除工具，移除多數常見的惡意程式碼變體。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 之 Red Hat Network Satellite 5.5 的更新版 jabberd 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

此套件提供 jabberd 2，這是一種可延伸傳訊和顯示通訊協定 (XMPP) 的伺服器，適用於以 XML 為基礎的通訊。

據發現，jabberd 2 中的 XMPP 回撥通訊協定實作並未正確驗證「驗證回應」和「授權回應」訊息。能連線至 jabberd 之伺服器對伺服器通訊連接埠的遠端攻擊者，可能利用此瑕疵偽造 XMPP 訊息的來源網域。(CVE-2012-3525)

建議 Red Hat Network Satellite 5.5 使用者升級至此更新版 jabberd 套件，其可解決此問題。必須重新啟動 Red Hat Network Satellite，此更新才會生效。如需詳細資訊，請參閱〈解決方案〉一節。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 之 Red Hat Network Proxy 5.5 的更新版 jabberd 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

此套件提供 jabberd 2，這是一種可延伸傳訊和顯示通訊協定 (XMPP) 的伺服器，適用於以 XML 為基礎的通訊。

據發現，jabberd 2 中的 XMPP 回撥通訊協定實作並未正確驗證「驗證回應」和「授權回應」訊息。能連線至 jabberd 之伺服器對伺服器通訊連接埠的遠端攻擊者，可能利用此瑕疵偽造 XMPP 訊息的來源網域。(CVE-2012-3525)

建議 Red Hat Network Proxy 5.5 使用者升級至此更新版 jabberd 套件，其可解決此問題。必須重新啟動 Red Hat Network Proxy，此更新才會生效。如需詳細資訊，請參閱〈解決方案〉一節。

ID	名稱	產品	系列	已發布	已更新	嚴重性
61757	Fedora 16 : jabberd-2.2.14-4.fc16 (2012-12481)	Nessus	Fedora Local Security Checks	2012/9/4	2021/1/11	medium
61639	FreeBSD：jabberd -- 伺服器回撥通訊協定中的網域偽造 (4d1d2f6d-ec94-11e1-8bd8-0022156e8794)	Nessus	FreeBSD Local Security Checks	2012/8/23	2021/1/6	medium
62801	Mac OS X：OS X Server < 2.1.1 多個弱點	Nessus	MacOS X Local Security Checks	2012/11/2	2018/7/14	medium
62138	Fedora 18 : jabberd-2.2.17-1.fc18 (2012-12418)	Nessus	Fedora Local Security Checks	2012/9/18	2021/1/11	medium
65578	Mac OS X 多個弱點 (安全性更新 2013-001)	Nessus	MacOS X Local Security Checks	2013/3/15	2018/7/14	high
64066	RHEL 5 / 6：Satellite Server 中的 jabberd (RHSA-2012:1538)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/24	critical
61758	Fedora 17 : jabberd-2.2.14-4.fc17 (2012-12487)	Nessus	Fedora Local Security Checks	2012/9/4	2021/1/11	medium
64067	RHEL 5 / 6：jabberd (RHSA-2012:1539)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

high

critical

medium

medium