Debian DLA-1723-1：cron 安全更新

medium Nessus 插件 ID 123017

语言：

简介

远程 Debian 主机缺少安全更新。

描述

Debian 的 CRON 计划程序中发现多种安全问题。CVE-2017-9525 修复了群组 crontab 通过 Debian 程序包的 postinst 脚本提升至 root 权限的漏洞，此漏洞详情见 Alexander Peslyak (Solar Designer) 在 http://www.openwall.com/lists/oss-security/2017/06/08/3 中的描述 CVE-2019-9704 DoS: 修复了 calloc() 的返回未检查的漏洞。Florian Weimer 发现，calloc() 的返回值缺少检查，用户创建的过大的 crontab 可能会触发后台程序崩溃。CVE-2019-9705 crontab 的最大行数强制限定为 1000，以防止恶意用户创建过大的 crontab。后台程序会对现有文件记录警告，而 crontab(1) 会拒绝创建新文件。CVE-2019-9706 用户报告，cron 后台程序存在释放后使用的情况，通过使后台程序崩溃可能会造成拒绝服务的情况。对于 Debian 8“Jessie”，这些问题已在 3.0pl1-127+deb8u2 版本中修复。建议您升级 cron 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。