Added warnings to tcp wrapper code when mounts are denied due to misconfigured DNS configurations. gssd: By default, don't spam syslog when users' credentials expire

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

セキュリティの問題と複数のバグを修正する、更新済みの nfs-utils パッケージが Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

nfs-utils パッケージでは、カーネル NFS サーバーおよび関連ツールのデーモンを提供しています。これは、多くのユーザーが使用している従来の Linux NFS サーバーよりもさらに高レベルなパフォーマンスを提供しています。

RHBA-2008:0742 によって提供される nfs-utils パッケージに欠陥が見つかりました。
この nfs-utils パッケージでは、 TCP ラッパーサポートが欠けていました。このため管理者は、アクセス制限が無効な場合でも、有効化されたと誤認してしまうことがあります。(CVE-2008-1376)

この更新には、次のバグ修正も含まれています：

* 「nfsstat」コマンドは現在、適切な統計を表示します。以前のバージョンでは、2^31 RPC を超える呼び出しを行うと、「nfsstat」コマンドが「negative」として呼び出し数を不適切に表示する可能性がありました。これは、「nfsstat」が /proc/net/rpc/* ファイルから統計を署名付き整数として出力するためです。このバージョンの nfs-utils では、「nfsstat」が、署名なしの整数としてこれらの統計の読み込みと出力を行うようになりました。（BZ#404831）

* imapd アップコールは現在、ゼロレングス読み込みをサポートし、gssd および svcgssd で、さらなる境界検査を行うようになりました。これは、カーネルと通信する際に rpc.imapd デーモンをハングさせていた以前のバージョンのバグを修正しています。このバグは、すべての ID トランザクションサービスを停止させます。（BZ#448710）

* nfs-utils でサポートされている tcp_wrappers では、/etc/hosts.allow および /etc/hosts.deny で定義されているルールへの、適切なアプリケーションのアクセスを許可しています。
（BZ#494585）

* nfs init スクリプトは、rpc.svcgssd の開始、停止、クエリを行う前に SECURE_NFS が「yes」に設定されているかをチェックしていませんでした。SECURE_NFS が「yes」に設定されていないシステムでは、nfs init スクリプトは、「service nfs start」コマンドで rpc.svcgssd デーモンを開始できませんでした。これは、rpcsvcssd init スクリプトがデーモンを開始する前に SECURE_NFS のステータスをチェックするためです。ただし、「service nfs stop」または「service nfs restart」コマンドでは、nfs init スクリプトは、rpc.svcgssd の停止を試行してから、エラーを報告します。これは、デーモンが初めから実行されていないためです。これらのエラーメッセージは、NFS 構成に正規の問題があると、エンドユーザーに誤解させていた可能性があります。このバージョンの nfs-utils には、Red Hat Enterprise Linux 5 からバックポートされた修正が含まれています。nfs-utils は現在、nfs init スクリプトが rpc.svcgssd の開始、クエリ、または停止する前に、SECURE_NFS のステータスをチェックするようになりました。そのため、以前表示されていたような無関係なエラーメッセージが表示されなくなります。（BZ#470423）

* nfs init スクリプトは現在、Linux Standard Base Core 仕様に完全に準拠しいています。この更新では、NFS がすでに実行されている場合に、「etc/init.d/nfs-start」が適切に存在しないようにしていたバグを修正しています。（BZ#474570）

* /var/lib/nfs/statd/sm は現在、rpc.statd が呼び出される際は常に、適切なユーザーおよびグループで作成されるようになりました。以前のバージョンでは、一部のスレッドスタック状態が、rpc.statd に /var/lib/nfs/statd/sm ファイルの作成を不適切に阻止していました。これにより、「service nfslock start」が失敗する可能性があります。（BZ#479376）

nfs-utils の全ユーザーは、この更新済みパッケージにアップグレードし、この問題を解決する必要があります。

現已提供適用於 Red Hat Enterprise Linux 4 的更新版 nfs-utils 套件，可修正一個安全性問題和多個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

nfs-utils 套件提供適用於核心 NFS 伺服器和相關工具的程序，其效能層級比多數使用者所使用的傳統型 Linux NFS 伺服器效能更高。

在 RHBA-2008:0742 提供的 nfs-utils 套件中發現一個瑕疵。
nfs-utils 套件缺少 TCP 包裝函式支援，可導致系統管理員在並沒有啟用存取限制的情況下相信他們已啟用存取限制。(CVE-2008-1376)

此更新也包含下列錯誤修正：

*「nfsstat」命令現可顯示正確的統計資料。在先前版本中，執行超過 2^31 個 RPC 呼叫時，可造成「nfsstat」命令將呼叫數目不正確地顯示為「負數」。這是因為「nfsstat」從 /proc/net/rpc/* 檔案列印統計資料時，會將其顯示為帶正負號的整數；而在此 nfs-utils 版本中，「nfsstat」現在讀取和列印這些統計資料時，可將其視為不帶正負號的整數。(BZ#404831)

* imapd 呼叫現在支援零長度讀取，並在 gssd 和 svcgssd 中執行額外邊界檢查。這可修正先前版本中的一個錯誤，該錯誤可在與核心通訊時造成 rpc.imapd 程序懸置，並將終止任何 ID 轉譯服務。(BZ#448710)

* nfs-utils 中支援的 tcp_wrappers 現可允許 /etc/hosts.allow 和 /etc/hosts.deny 中定義的適當主機應用程式存取規則。
(BZ#494585)

* nfs init 指令碼在啟動、停止或查詢 rpc.svcgssd 前，並未檢查 SECURE_NFS 是否已設為「yes」。在 SECURE_NFS 未設為「yes」的系統中，nfs init 指令碼無法依「service nfs start」命令啟動 rpc.svcgssd 程序，因為 rpcsvcssd init 指令碼會在啟動程序前檢查 SECURE_NFS 狀態。不過，若是「service nfs stop」或「service nfs restart」命令，nfs init 指令碼會嘗試停止 rpc.svcgssd，然後報告失敗，因為該程序一開始便未執行。這些錯誤訊息可能會誤導終端使用者，使其以為 NFS 組態真的有問題。此 nfs-utils 版本內含一個從 Red Hat Enterprise Linux 5 反向移植的修正。nfs-utils 現可在 nfs init 指令碼嘗試啟動、查詢或停止 rpc.svcgssd 前，檢查 SECURE_NFS 的狀態，因此不會再出現先前看到的不相關的錯誤訊息。(BZ#470423)

* nfs init 指令碼現已與 Linux Standard Base Core 規格完全相容。此更新可修正一個會在 NFS 執行時阻止「/etc/init.d/nfs start」正確結束的錯誤。(BZ#474570)

* 現在無論何時呼叫 rpc.statd，都可使用正確的使用者和群組建立 /var/lib/nfs/statd/sm。在先前版本中，部分執行緒堆疊情形可不正確地阻止 rpc.statd 建立 /var/lib/nfs/statd/sm 檔案，進而造成「service nfslock start」失敗。(BZ#479376)

所有 nfs-utils 使用者皆應升級至此更新版套件，其可解決這些問題。

更新后的 nfs-utils 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

nfs-utils 程序包提供用于内核 NFS 服务器的后台程序和相关工具，从而提供比大多数用户使用的传统 Linux NFS 服务器高出许多的性能级别。

在 RHBA-2008:0742 提供的 nfs-utils 程序包中发现一个缺陷。
nfs-utils 程序包缺少 TCP 包装程序支持，这会导致管理员认为他们已启用了访问限制，而实际上并没有启用。(CVE-2008-1376)

此更新还包括以下缺陷补丁：

*“nfsstat”命令现在显示正确的统计数据。在以前的版本中，执行超过 2^31 次 RPC 调用可造成“nfsstat”命令将调用数量错误地显示为“负数”。这是因为“nfsstat”将来自 /proc/net/rpc/* 文件的统计数据打印为有符号的整数；在此版本的 nfs-utils 中，“nfsstat”现在将这些统计数据打印为无符号的整数。(BZ#404831)

* imapd 上调现在支持在 gssd 和 svcgssd 中的零长度读取并执行额外边界检查。这修复了以前版本中的缺陷，该缺陷可造成 rpc.imapd 后台程序在与内核进行通信时挂起，从而可能停止任何 ID 转换服务。(BZ#448710)

* nfs-utils 中支持的 tcp_wrappers 现在允许正确应用 /etc/hosts.allow 和 /etc/hosts.deny 中定义的主机访问规则。
(BZ#494585)

* nfs init 脚本启动、停止或查询 rpc.svcgssd 之前未检查 SECURE_NFS 是否设置为“yes”。在 SECURE_NFS 未设置为“yes”的系统中，nfs init 脚本无法通过“service nfs start”命令启动 rpc.svcgssd 后台程序，因为 rpcsvcssd init 脚本将在启动后台程序之前检查 SECURE_NFS 的状态。不过，通过“service nfs stop”或“service nfs restart”命令，nfs init 脚本将尝试停止 rpc.svcgssd，然后报告失败，原因是后台程序未在第一个位置运行。这些错误消息可能会误导最终用户相信其 NFS 配置真正存在问题。此版本的 nfs-utils 包含从 Red Hat Enterprise Linux 5 向后移植的补丁。nfs-utils 现在会在 nfs init 脚本尝试启动、查询或停止 rpc.svcgssd 之前检查 SECURE_NFS 的状态，因此，以前显示的无关错误消息将不再出现。(BZ#470423)

* nfs init 脚本现已完全符合 Linux Standard Base Core 规范。此更新修复了在 NFS 已经运行时阻止“/etc/init.d/nfs start”正常退出的缺陷。(BZ#474570)

* /var/lib/nfs/statd/sm 现在在每次调用 rpc.statd 时通过正确的用户和群组创建。在以前的版本中，某些线程堆栈情况可能错误地阻止 rpc.statd 创建 /var/lib/nfs/statd/sm 文件，从而可造成“service nfslock start”失败。(BZ#479376)

所有 nfs-utils 用户都应升级此更新后的程序包，其中解决了这些问题。

- Added warnings to tcp wrapper code when mounts are     denied due to misconfigured DNS configurations.

  - gssd: By default, don't spam syslog when users'     credentials expire Re-enabled and fixed/enhanced tcp     wrappers.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

An updated nfs-utils package that fixes a security issue and multiple bugs is now available for Red Hat Enterprise Linux 4.

This update has been rated as having moderate security impact by the Red Hat Security Response Team.

The nfs-utils package provides a daemon for the kernel NFS server and related tools, which provides a much higher level of performance than the traditional Linux NFS server used by most users.

A flaw was found in the nfs-utils package provided by RHBA-2008:0742.
The nfs-utils package was missing TCP wrappers support, which could result in an administrator believing they had access restrictions enabled when they did not. (CVE-2008-1376)

This update also includes the following bug fixes :

* the 'nfsstat' command now displays correct statistics. In previous versions, performing more than 2^31 RPC calls could cause the 'nfsstat' command to incorrectly display the number of calls as 'negative'. This was because 'nfsstat' printed statistics from /proc/net/rpc/* files as signed integers; with this version of nfs-utils, 'nfsstat' now reads and prints these statistics as unsigned integers. (BZ#404831)

* imapd upcalls now support zero-length reads and perform extra bounds checking in gssd and svcgssd. This fixes a bug in previous versions that could cause the rpc.imapd daemon to hang when communicating with the kernel, which would halt any ID translation services. (BZ#448710)

* tcp_wrappers supported in nfs-utils now allows proper application of hosts access rules defined in /etc/hosts.allow and /etc/hosts.deny.
(BZ#494585)

* the nfs init script did not check whether SECURE_NFS was set to 'yes' before starting, stopping, or querying rpc.svcgssd. On systems where SECURE_NFS was not set to 'yes', the nfs init script could not start the rpc.svcgssd daemon at the 'service nfs start' command because the rpcsvcssd init script would check the status of SECURE_NFS before starting the daemon. However, at the 'service nfs stop' or 'service nfs restart' commands, nfs init script would attempt to stop rpc.svcgssd and then report a failure because the daemon was not running in the first place. These error messages may have misled end-users into believing that there was a genuine problem with their NFS configuration. This version of nfs-utils contains a fix backported from Red Hat Enterprise Linux 5. nfs-utils now checks the status of SECURE_NFS before the nfs init script attempts to start, query or stop rpc.svcgssd and therefore, the irrelevant error messages seen previously will not appear. (BZ#470423)

* the nfs init script is now fully compliant with Linux Standard Base Core specifications. This update fixes a bug that prevented '/etc/init.d/nfs start' from exiting properly if NFS was already running. (BZ#474570)

* /var/lib/nfs/statd/sm is now created with the proper user and group whenever rpc.statd is called. In previous versions, some thread stack conditions could incorrectly prevent rpc.statd from creating the /var/lib/nfs/statd/sm file, which could cause 'service nfslock start' to fail. (BZ#479376)

All users of nfs-utils should upgrade to this updated package, which resolves these issues.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
35394	Fedora 10 : nfs-utils-1.1.4-6.fc10 (2009-0266)	Nessus	Fedora Local Security Checks	2009/1/16	2021/1/11	high
67064	CentOS 4：nfs-utils（CESA-2009:0955）	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	high
67064	CentOS 4 : nfs-utils (CESA-2009:0955)	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	high
67064	CentOS 4：nfs-utils (CESA-2009:0955)	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	high
35396	Fedora 9 : nfs-utils-1.1.2-9.fc9 (2009-0297)	Nessus	Fedora Local Security Checks	2009/1/16	2021/1/11	high
67064	CentOS 4 : nfs-utils (CESA-2009:0955)	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	high

检测

插件搜索

high

high

high

high

high

high