Scientific Linux 安全更新： SL7.x x86_64 中的 389-ds-base

critical Nessus 插件 ID 102972

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

安全修复：- 在 389-ds-base 处理锁定帐户的身份验证尝试的方式中发现缺陷。远程攻击者可利用此缺陷，对 LDAP 帐户持续进行密码暴力破解攻击，从而绕过目录服务器密码锁定策略的保护。(CVE-2017-7551) 缺陷修复：- 在多副本环境中，若一个后端的操作会触发其他后端更新，则后端的副本更新向量 (RUV) 不正确且复制失败。此修复使目录服务器能处理多个后端的更改序列号 (CSN) 挂起列表，使副本正常运作。- 由于默认条目高速缓存大小值较低，目录服务器数据库在资源密集型任务中必须解决很多死锁问题。在某些情况下，可导致“DB PANIC”错误，且服务器不再响应请求。服务器重启后，目录服务器以延迟来恢复数据库启动。但是，恢复可能失败，导致数据库崩溃。此补丁可将 nsslapd-cachememsize 参数的默认条目高速缓存大小值提高至 200 MB。因此，上述情景中的死锁情况或“DB PANIC”错误不再发生。- 此前，如果启用复制且存在变更日志文件，在此主服务器上执行备份会失败。此更新设置了正确复制文件的内部选项。现在可在上述情景中正确创建备份。- 在某些情况下，若服务器先前突然关闭，/etc/dirsrv/<instance_name>/dse.ldif 配置文件会损坏。这导致目录服务器无法启动。此补丁可使服务器在关闭前调用 fsync() 函数，迫使文件系统将所有更改写入磁盘。因此，无论服务器以何种方式停止，配置均不会遭到破坏。

解决方案

更新受影响的程序包。

另见

http://www.nessus.org/u?a07f6bf8

插件详情

严重性: Critical

ID: 102972

文件名: sl_20170905_389_ds_base_on_SL7_x.nasl

版本: 3.5

类型: local

代理: unix

系列: Scientific Linux Local Security Checks

发布时间: 2017/9/6

最近更新时间: 2021/1/14

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: Medium

基本分数: 5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS v3

风险因素: Critical

基本分数: 9.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

漏洞信息

CPE: p-cpe:/a:fermilab:scientific_linux:389-ds-base-snmp, x-cpe:/o:fermilab:scientific_linux, p-cpe:/a:fermilab:scientific_linux:389-ds-base-libs, p-cpe:/a:fermilab:scientific_linux:389-ds-base-debuginfo, p-cpe:/a:fermilab:scientific_linux:389-ds-base-devel, p-cpe:/a:fermilab:scientific_linux:389-ds-base

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

补丁发布日期: 2017/9/5

漏洞发布日期: 2017/8/16

参考资料信息

CVE: CVE-2017-7551