Scientific Linux 安全更新： SL7.x x86_64 中的 389-ds-base

high Nessus 插件 ID 117785

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

安全修复：- 389-ds-base: 引用计数器上的争用条件导致使用持续搜索时发生 DoS (CVE-2018-10850) - 389-ds-base: 带服务器端排序的 ldapsearch 允许用户造成崩溃 (CVE-2018-10935) - 389-ds-base：通过修改带有大型 DN 的命令造成服务器崩溃 (CVE-2018-14624) - 389-ds-base：当持续搜索连接意外终止时，delete_passwdPolicy 中发生崩溃 (CVE-2018-14638) 缺陷修复：- 此前，目录服务器默认启用 nucn-stans 框架，但此框架并不稳定。因此，会发生死锁和文件描述符泄露。此更新将 nsslapd-enable-nunc-stans 参数默认值更改为 'off'。因此，目录服务器现已稳定。- 当搜索评估 'shadowAccount’ 条目时，目录服务器会添加该条目的 shadow 属性。若启用细粒度密码策略，'shadowAccount’ 条目会包含其自有 'pwdpolicysubentry’ 策略属性。此前，为恢复此属性，服务器会针对每个 ’shadowAccount’ 条目进行非必要的内部搜索，因为该服务器已知该条目。通过此更新，目录服务器仅在条目未知时，才会启动内部搜索。因此，搜索性能（例如响应时间和吞吐量）有所提升。

解决方案

更新受影响的程序包。

另见

http://www.nessus.org/u?1a76e431

插件详情

严重性: High

ID: 117785

文件名: sl_20180925_389_ds_base_on_SL7_x.nasl

版本: 1.7

类型: local

代理: unix

系列: Scientific Linux Local Security Checks

发布时间: 2018/9/27

最近更新时间: 2024/8/1

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: High

基本分数: 7.1

时间分数: 5.6

矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:C

CVSS 分数来源: CVE-2018-10850

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.7

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

CVSS 分数来源: CVE-2018-14638

漏洞信息

CPE: x-cpe:/o:fermilab:scientific_linux, p-cpe:/a:fermilab:scientific_linux:389-ds-base-libs, p-cpe:/a:fermilab:scientific_linux:389-ds-base-debuginfo, p-cpe:/a:fermilab:scientific_linux:389-ds-base-devel, p-cpe:/a:fermilab:scientific_linux:389-ds-base, p-cpe:/a:fermilab:scientific_linux:389-ds-base-snmp

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

可利用: true

易利用性: Exploits are available

补丁发布日期: 2018/9/25

漏洞发布日期: 2018/6/13

参考资料信息

CVE: CVE-2018-10850, CVE-2018-10935, CVE-2018-14624, CVE-2018-14638