Debian DSA-5177-1：ldap-account-manager - 安全更新
high Nessus 插件 ID 162762
语言：
简介
远程 Debian 主机上缺少一个或多个与安全性相关的更新。描述
远程 Debian 11 主机上安装的多个程序包受到 dsa-5177 公告中提及的多个漏洞影响。- LDAP Account Manager (LAM) 是一个开源 Web 前端，用于管理 LDAP 目录中所存储的条目。配置文件编辑器工具具有编辑配置文件的功能，此页面上的参数未经正确审查，可导致存储型 XSS 攻击。经过身份验证的用户可将 XSS 负载存储在配置文件中，当任何其他用户尝试访问编辑配置文件页面时即可触发此攻击。pdf 编辑器工具具有编辑 pdf 配置文件的功能，其中的 logoFile 参数未经正确审查，用户可使用 burpsuite 类工具输入相对路径，如 ../../../../../../../../../../../../../usr/share/icons/hicolor/48x48/apps/gvim.png。稍后，使用编辑过的配置文件导出 pdf 时，该路径上会显该 pdf 图标的图像（如果存在图像）。这两个问题都要求攻击者能够登录 LAM 管理界面。此问题已在 7.9.1 版本中修复。(CVE-2022-24851)
- LDAP Account Manager (LAM) 是一个 Web 前端，用于管理 LDAP 目录中所存储的条目（例如用户、组、DHCP 设置）。在低于 8.0 的版本中，LAM 在某些情况下会实例化任意类中的对象。攻击者可注入第一个构造函数参数。如果实例化非 LAM 类，其可在对象创建期间执行代码，从而触发代码执行攻击。此问题已在 8.0 版本中修复。(CVE-2022-31084)
- LDAP Account Manager (LAM) 是一个 Web 前端，用于管理 LDAP 目录中所存储的条目（例如用户、组、DHCP 设置）。在低于 8.0 的版本中，如果未安装 PHP OpenSSL 扩展或配置禁用加密，则会话文件会包含明文的 LDAP 用户名和密码。此问题已在 8.0 版本中修复。无法升级的用户应安装 PHP OpenSSL 扩展，并确保在 LAM 主配置中启用会话加密。(CVE-2022-31085)
- LDAP Account Manager (LAM) 是一个 Web 前端，用于管理 LDAP 目录中所存储的条目（例如用户、组、DHCP 设置）。在低于 8.0 的版本中，错误的正则表达式允许将 PHP 脚本上传到 config/templates/pdf。如果远程用户可访问 /config/templates/pdf/ 目录，则此漏洞可导致远程代码执行。这不是 LAM 的默认配置。此问题已在 8.0 版本中修复。针对此问题，尚无已知的变通方案。
(CVE-2022-31086)
- LDAP Account Manager (LAM) 是一个 Web 前端，用于管理 LDAP 目录中所存储的条目（例如用户、组、DHCP 设置）。在低于 8.0 的版本中，可通过 /lam/tmp/ 访问的 tmp 目录允许解释 .php（和 .php5/.php4/.phpt/etc）文件。能够依据 www-data 权限写入文件的攻击者可将 web-shell 写入此目录，并在主机上获得代码执行。此问题已在 8.0 版本中修复。无法升级的用户应禁止在 (/var/lib/ldap-account-manager/)tmp 目录中执行 PHP 脚本。(CVE-2022-31087)
- LDAP Account Manager (LAM) 是一个 Web 前端，用于管理 LDAP 目录中所存储的条目（例如用户、组、DHCP 设置）。在低于 8.0 的版本中，登录时的用户名字段可用于枚举 LDAP 数据。这仅适用于 LDAP 搜索配置。此问题已在 8.0 版本中修复。(CVE-2022-31088)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 ldap-account-manager 程序包。对于稳定发行版本 (bullseye)，这些问题已在 8.0.1-0+deb11u1 版本中解决。
另见
http://www.nessus.org/u?3e38a554
https://www.debian.org/security/2022/dsa-5177
https://security-tracker.debian.org/tracker/CVE-2022-24851
https://security-tracker.debian.org/tracker/CVE-2022-31084
https://security-tracker.debian.org/tracker/CVE-2022-31085
https://security-tracker.debian.org/tracker/CVE-2022-31086
https://security-tracker.debian.org/tracker/CVE-2022-31087
https://security-tracker.debian.org/tracker/CVE-2022-31088
https://packages.debian.org/source/bullseye/ldap-account-manager
插件详情
严重性: High
ID: 162762
文件名: debian_DSA-5177.nasl
版本: 1.5
类型: local
代理: unix
发布时间: 2022/7/6
最近更新时间: 2023/10/19
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.2
时间分数: 5.6
矢量: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2022-31087
CVSS v3
风险因素: High
基本分数: 8.8
时间分数: 7.9
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2022-31086
漏洞信息
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:ldap-account-manager, p-cpe:/a:debian:debian_linux:ldap-account-manager-lamdaemon
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2022/7/5
漏洞发布日期: 2022/4/15
参考资料信息
CVE: CVE-2022-24851, CVE-2022-31084, CVE-2022-31085, CVE-2022-31086, CVE-2022-31087, CVE-2022-31088