Scientific Linux 安全更新：SL5.x 中的 openssh

medium Nessus 插件 ID 60296

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

问题描述：

在 ssh 服务器将帐户名称写入审计子系统的方式中发现一个缺陷。攻击者可注入包含部分审计消息的字符串，从而可能误导或混淆审计日志解析工具。(CVE-2007-3102)

在 OpenSSH 服务器处理 GSSAPI 认证请求的方式中发现一个缺陷。在 OpenSSH 服务器中启用 GSSAPI 认证后，远程攻击者可能确定用户名是否有效。(CVE-2006-5052)

此更新中还修复了 SELinux MLS（多级安全）支持中的以下缺陷：

- 使用 ssh 进行登录时，有时无法选择 SELinux 角色和级别。

- 如果用户获取了非默认 SELinux 角色或级别，审计子系统中不会记录角色变更。

- 在某些情况下，在有标记的网络中，sshd 允许从其不应允许的级别访问进行登录。

这些更新后的程序包还包含对使用 PKCS#11 标记中存储的私钥进行客户端认证的试验性支持。通过 NSS (Network Security Services) 库提供这种支持。