Scientific Linux 安全更新：SL4.x i386/x86_64 中的 openssh

medium Nessus 插件 ID 60306

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

在 ssh 服务器将帐户名称写入审计子系统的方式中发现一个缺陷。攻击者可注入包含部分审计消息的字符串，从而可能误导或混淆审计日志解析工具。(CVE-2007-3102)

在 OpenSSH 服务器处理 GSSAPI 认证请求的方式中发现一个缺陷。在 OpenSSH 服务器中启用 GSSAPI 认证后，远程攻击者或能确定用户名是否有效。(CVE-2006-5052)

还修复了以下缺陷：

- 关闭 ssh 会话时 ssh 后台程序未生成审计消息。

- GSSAPI 认证有时在使用 DNS 或负载平衡的群集上失败。

- sftp 客户端和服务器在某些情况下泄漏少量内存。

- 目标磁盘驱动器已满时，sftp 在批处理模式下未正确退出并返回非零状态。

- 通过 initscript 重新启动 ssh 后台程序时，ssh 后台程序有时未能成功重新启动，原因是未正确终止之前运行的 ssh 后台程序。

- 启用了质询/响应认证时，如果用户认证超时，则不会终止 pam 子进程。