現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 的更新版 libuser 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

libuser 程式庫實作標準化介面，可用於操控和管理使用者和群組帳戶。效仿影子密碼套件 (shadow-utils) 中應用程式的範例應用程式包含在這些套件中。

據發現，libuser 在建立 LDAP (輕量型目錄存取通訊協定) 使用者時，未正確設定密碼項目。如果系統管理員未指派密碼給 LDAP 型使用者帳戶，無論是在建立帳戶時以 luseradd 指派，或建立帳戶後以 lpasswd 指派，攻擊者都可利用此瑕疵，使用本應遭到拒絕的預設密碼字串登入該帳戶。(CVE-2011-0002)

注意：使用 libuser 工具新增使用者的 LDAP 系統管理員，應檢查現有的使用者帳戶是否有純文字密碼，並視需要進行重設。

libuser 的使用者應升級至這些更新版套件，其中包含可更正此問題的反向移植修補程式。

據發現，libuser 在建立 LDAP (輕量型目錄存取通訊協定) 使用者時，未正確設定密碼項目。如果系統管理員未指派密碼給 LDAP 型使用者帳戶，無論是在建立帳戶時以 luseradd 指派，或建立帳戶後以 lpasswd 指派，攻擊者都可利用此瑕疵，使用本應遭到拒絕的預設密碼字串登入該帳戶。(CVE-2011-0002)

注意：使用 libuser 工具新增使用者的 LDAP 系統管理員，應檢查現有的使用者帳戶是否有純文字密碼，並視需要進行重設。

在 libuser 中發現一個弱點且已更正：

0.57 之前的 libuser 針對新的 LDAP 使用者帳戶使用 (1) !! 或 (2) x 的純文字密碼值，這使得遠端攻擊者更容易透過指定這些值其中之一而取得存取權 (CVE-2011-0002)。

適用於 2009.0 的套件會隨著「延長維護計畫」提供。如需深入瞭解，請造訪這個連結：
http://store.mandriva.com/product_info.php?cPath=149 products_id=490

已修補更新版套件，以更正此問題。

修正 LDAP 中預設的 userPassword 值；請注意，此僅影響近期未變更過密碼的帳戶。除了安裝此更新外，用於驗證的 LDAP 伺服器維護程式也應檢閱其 LDAP 目錄是否有未預期的 userPassword 純文字值。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 VMware ESX / ESXi 主機缺少安全性相關修補程式。
因此受到數個第三方元件和程式庫中的多個弱點影響，包括遠端程式碼執行弱點：

- Java Runtime Environment (JRE)
 - libuser
 - Netscape Portable Runtime (NSPR) 
 - Network Security Services (NSS)
 - OpenSSL

來自 Red Hat 安全性公告 2011:0170：

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 的更新版 libuser 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

libuser 程式庫實作標準化介面，可用於操控和管理使用者和群組帳戶。效仿影子密碼套件 (shadow-utils) 中應用程式的範例應用程式包含在這些套件中。

據發現，libuser 在建立 LDAP (輕量型目錄存取通訊協定) 使用者時，未正確設定密碼項目。如果系統管理員未指派密碼給 LDAP 型使用者帳戶，無論是在建立帳戶時以 luseradd 指派，或建立帳戶後以 lpasswd 指派，攻擊者都可利用此瑕疵，使用本應遭到拒絕的預設密碼字串登入該帳戶。(CVE-2011-0002)

注意：使用 libuser 工具新增使用者的 LDAP 系統管理員，應檢查現有的使用者帳戶是否有純文字密碼，並視需要進行重設。

libuser 的使用者應升級至這些更新版套件，其中包含可更正此問題的反向移植修補程式。

a. 適用於 Service Console openssl RPM 的 ESX 第三方更新

Service Console openssl RPM 已更新至 openssl-0.9.8e.12.el5_5.7 版，解決了兩個安全性問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已為這些問題命名為 CVE-2008-7270 及 CVE-2010-4180。
 b. 適用於 Service Console libuser RPM 的 ESX 第三方更新 Service Console libuser RPM 已更新至 0.54.7-2.1.el5_5.2 版，解決了一個安全性問題。
 Common Vulnerabilities and Exposures 專案 (cve.mitre.Org) 已為此問題指派名稱 CVE-2011-0002。
 c. 適用於 Service Console nss 和 nspr RPM 的 ESX 第三方更新 Service Console Network Security Services (NSS) 和 Netscape Portable Runtime (NSPR) 程式庫已更新至 nspr-4.8.6-1 及 nss-3.12.8-4 版，解決了多個安全性問題。
 Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已為這些問題命名為 CVE-2010-3170 及 CVE-2010-3173。
 d. vCenter Server 和 ESX、Oracle (Sun) JRE 更新 1.6.0_24 版

Oracle (Sun) JRE 已更新至 1.6.0_24 版，其可解決舊版 Oracle (Sun) JRE 中存在的多個安全性問題。
 Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將下列名稱指派給 JRE 1.6.0_24 所修正的安全性問題：CVE-2010-4422、CVE-2010-4447、CVE-2010-4448、CVE-2010-4450、CVE-2010-4451、CVE-2010-4452、CVE-2010-4454、CVE-2010-4462、CVE-2010-4463、CVE-2010-4465、CVE-2010-4466、CVE-2010-4467、CVE-2010-4468、CVE-2010-4469、CVE-2010-4470、CVE-2010-4471、CVE-2010-4472、CVE-2010-4473、CVE-2010-4474、CVE-2010-4475 和 CVE-2010-4476。
 Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將下列名稱指派給 JRE 1.6.0_22 所修正的安全性問題：CVE-2010-1321、CVE-2010-3541、CVE-2010-3548、CVE-2010-3549、CVE-2010-3550、CVE-2010-3551、CVE-2010-3552、CVE-2010-3553、CVE-2010-3554、CVE-2010-3555、CVE-2010-3556、CVE-2010-3557、CVE-2010-3558、CVE-2010-3559、CVE-2010-3560、CVE-2010-3561、CVE-2010-3562、CVE-2010-3563、CVE-2010-3565、CVE-2010-3566、CVE-2010-3567、CVE-2010-3568、CVE-2010-3569、CVE-2010-3570、CVE-2010-3571、CVE-2010-3572、CVE-2010-3573 和 CVE-2010-3574。
 e. vCenter Update Manager Oracle (Sun) JRE 更新 1.5.0_30

Oracle (Sun) JRE 已更新至 1.5.0_30 版，其可解決舊版 Oracle (Sun) JRE 中存在的多個安全性問題。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將下列名稱指派給 Oracle (Sun) JRE 1.5.0_30 所修正的安全性問題：CVE-2011-0862、CVE-2011-0873、CVE-2011-0815、CVE-2011-0864、CVE-2011-0802、CVE-2011-0814、CVE-2011-0871、CVE-2011-0867 和 CVE-2011-0865。

Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將下列名稱指派給 Oracle (Sun) JRE 1.5.0_28 所修正的安全性問題：CVE-2010-4447、CVE-2010-4448、CVE-2010-4450、CVE-2010-4454、CVE-2010-4462、CVE-2010-4465、CVE-2010-4466、CVE-2010-4468、CVE-2010-4469、CVE-2010-4473、CVE-2010-4475、CVE-2010-4476。

f. VMware 第三方元件 sfcb 中的整數溢位

此版本可解決將 /etc/sfcb/sfcb.cfg 中的 httpMaxContentLength 從預設值變更為 0 時，第三方程式庫 SFCB 中存在的一個整數溢位問題。
 這個整數溢位可允許遠端攻擊者透過 Content-Length HTTP 標頭中的大整數，造成拒絕服務 (堆積記憶體損毀) 或可能執行任意程式碼。
 Common Vulnerabilities and Exposures 專案 (cve.mitre.org) 已將名稱 CVE-2010-2054 指派給此問題。

ID	名稱	產品	系列	已發布	已更新	嚴重性
51590	RHEL 4 / 5 / 6 : libuser (RHSA-2011:0170)	Nessus	Red Hat Local Security Checks	2011/1/21	2021/1/14	medium
60941	Scientific Linux 安全性更新：SL4.x、SL5.x i386/x86_64 上的 libuser	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
51810	Mandriva Linux 安全性公告：libuser (MDVSA-2011:019)	Nessus	Mandriva Local Security Checks	2011/1/28	2021/1/6	medium
51885	CentOS 4 / 5：libuser (CESA-2011:0170)	Nessus	CentOS Local Security Checks	2011/2/6	2021/1/4	medium
51647	Fedora 13 : libuser-0.56.16-1.fc13.2 (2011-0320)	Nessus	Fedora Local Security Checks	2011/1/24	2021/1/11	medium
89681	VMware ESX / ESXi 第三方程式庫多個弱點 (VMSA-2011-0013) (遠端檢查)	Nessus	Misc.	2016/3/4	2021/1/6	critical
68185	Oracle Linux 4 / 5 / 6︰libuser (ELSA-2011-0170)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
51646	Fedora 14 : libuser-0.56.18-3.fc14 (2011-0316)	Nessus	Fedora Local Security Checks	2011/1/24	2021/1/11	medium
56665	VMSA-2011-0013：適用於 VMware vCenter Server、vCenter Update Manager、ESXi 和 ESX 的 VMware 第三方元件更新	Nessus	VMware ESX Local Security Checks	2011/10/28	2021/1/6	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

critical

medium

medium

critical