EulerOS 2.0 SP2：cracklib (EulerOS-SA-2019-2439)

high Nessus 插件 ID 131593

语言：

简介

远程 EulerOS 主机缺少一个安全更新。

描述

根据安装的 cracklib 程序包版本，远程主机上安装的 EulerOS 会受到下列漏洞影响：- CrackLib 会测试密码以判断它们是否符合特定的安全导向特性，用以阻止用户选择容易猜到的密码。CrackLib 会对密码执行各种测试：它会尝试从用户名称和 gecos 条目产生字，并对照密码检查这些字，然后检查密码中的简单模式，再检查字典中的密码。CrackLib 实际上是一个包含特定 C 函数的库，用于检查密码以及其他 C 函数。CrackLib 不能取代 passwd 程序，它必须与现有的 passwd 程序一起使用。如果您需要一个程序来检查用户的密码，以查看它们是否至少具有最低的安全性，请安装 cracklib 程序包。如果您安装 CrackLib，您也会想要安装 cracklib-dicts 程序包。安全修复：在 cracklib 的 lib/fascist.c 中，FascistGecosUser 函数中的堆栈型缓冲区溢出允许本地用户通过长 GECOS 字段，造成拒绝服务（应用程序崩溃），或取得权限，这与 longbuffer 相关。(CVE-2016-6318) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。