来自 Red Hat 安全公告 2012:0796：

更新后的 rsyslog 程序包修复了一个安全问题和多种缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

rsyslog 程序包提供增强的多线程 syslog 后台程序。

在 rsyslog imfile 模块处理包含长行的文本文件的方式中发现了数值截断错误，可造成基于堆的缓冲区溢出。攻击者如果可以导致长行写入 rsyslogd 使用 imfile 监控的日志文件，则可利用此缺陷造成 rsyslogd 后台程序崩溃，或可能以 rsyslogd 的权限执行任意代码。默认不启用 imfile 模块。(CVE-2011-4623)

缺陷补丁：

* 多个变量未能使用传输层安全 (TLS) 传输和 PKCS#8 格式的密钥正确去初始化。提供了此格式的密钥时，rsyslogd 后台程序因分段错误而终止。现在可以正确去初始化这些变量。(BZ#727380)

* 以前，imgssapi 插件的初始化不完整。因此，rsyslogd 后台程序在配置为提供 GSSAPI 监听器时将终止。现在可以正确初始化该插件。
(BZ#756664)

* 消息中使用的 localhost 的全限定域名 (FQDN) 是发现的第一个别名。这在多主机上不会始终达成预期的结果。通过此更新，算法使用与主机名对应的别名。(BZ#767527)

* 只要因 GnuTLS 库中的错误导致加载 gtls 模块，该模块都将泄漏文件描述符。达到文件描述符的计数限制时，不能打开任何新文件或网络连接。此更新修改 gtls 模块，使其在进程生命周期内不被卸载。(BZ#803550)

* rsyslog 不能替代主机名来为本地生成的消息设置备用主机名。但是，可以覆盖本地主机名。(BZ#805424)

* rsyslogd init 脚本未将锁定文件路径传递到“status”操作。因此，将忽略锁定文件并返回错误的退出代码。此更新修改 init 脚本以将锁定文件传递到“status”操作。现在，返回正确的退出代码。(BZ#807608)

* 如果为 rsyslogd 提供畸形假脱机文件，则可对数据错误地进行去初始化。rsyslogd 后台程序可因分段错误而终止。此更新修改底层代码以对数据正确执行去初始化。(BZ#813079)

* 以前，在某些错误情况下，可能对不存在的数据执行去初始化。因此，如果将 rsyslog 配置为使用磁盘辅助队列，但不指定假脱机文件，rsyslogd 可因分段错误而终止。通过此更新，可以妥善处理错误情况。(BZ#813084)

* 手册页错误地陈述了用于开启调试的“-d”选项'导致后台程序在前台运行，因而造成误导，因为当前行为是在前台运行。现在，手册页反映正确的行为。(BZ#820311)

* 即使在后台运行，rsyslog 也尝试将调试消息写入标准输出。这导致将调试信息写入其他某些输出。已对此进行了修正，因此在后台运行时，调试消息不再写入标准输出。(BZ#820996)

* 用于容纳证书的可分辨名 (DN) 的字符串缓冲区太小。不显示长度超过 128 个字符的 DN。此更新增大了缓冲区以处理较长的 DN。
(BZ#822118)

增强：

* 支持速率限制和多行消息功能。现在，rsyslogd 可限制其通过 UNIX 套接字接受的消息数量。(BZ#672182)

* 增加了“/etc/rsyslog.d/”配置目录，以提供 syslog 配置文件。(BZ#740420)

建议所有 rsyslog 用户升级这些更新后的程序包，以将 rsyslog 升级到版本 5.8.10 并修正这些问题和添加这些增强。安装此更新后，rsyslog 后台程序将自动重新启动。

在 rsyslog imfile 模块处理包含长行的文本文件的方式中发现了数值截断错误，可造成基于堆的缓冲区溢出。攻击者如果可以导致长行写入 rsyslogd 使用 imfile 监控的日志文件，则可利用此缺陷造成 rsyslogd 后台程序崩溃，或可能以 rsyslogd 的权限执行任意代码。默认不启用 imfile 模块。(CVE-2011-4623)

更新后的 rsyslog 程序包修复了一个安全问题和多种缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

rsyslog 程序包提供增强的多线程 syslog 后台程序。

在 rsyslog imfile 模块处理包含长行的文本文件的方式中发现了数值截断错误，可造成基于堆的缓冲区溢出。攻击者如果可以导致长行写入 rsyslogd 使用 imfile 监控的日志文件，则可利用此缺陷造成 rsyslogd 后台程序崩溃，或可能以 rsyslogd 的权限执行任意代码。默认不启用 imfile 模块。(CVE-2011-4623)

缺陷补丁：

* 多个变量未能使用传输层安全 (TLS) 传输和 PKCS#8 格式的密钥正确去初始化。提供了此格式的密钥时，rsyslogd 后台程序因分段错误而终止。现在可以正确去初始化这些变量。(BZ#727380)

* 以前，imgssapi 插件的初始化不完整。因此，rsyslogd 后台程序在配置为提供 GSSAPI 监听器时将终止。现在可以正确初始化该插件。
(BZ#756664)

* 消息中使用的 localhost 的全限定域名 (FQDN) 是发现的第一个别名。这在多主机上不会始终达成预期的结果。通过此更新，算法使用与主机名对应的别名。(BZ#767527)

* 只要因 GnuTLS 库中的错误导致加载 gtls 模块，该模块都将泄漏文件描述符。达到文件描述符的计数限制时，不能打开任何新文件或网络连接。此更新修改 gtls 模块，使其在进程生命周期内不被卸载。(BZ#803550)

* rsyslog 不能替代主机名来为本地生成的消息设置备用主机名。但是，可以覆盖本地主机名。(BZ# 805424)

* rsyslogd init 脚本未将锁定文件路径传递到“status”操作。因此，将忽略锁定文件并返回错误的退出代码。此更新修改 init 脚本以将锁定文件传递到“status”操作。现在，返回正确的退出代码。(BZ#807608)

* 如果为 rsyslogd 提供畸形假脱机文件，则可对数据错误地进行去初始化。rsyslogd 后台程序可因分段错误而终止。此更新修改底层代码以对数据正确执行去初始化。(BZ#813079)

* 以前，在某些错误情况下，可能对不存在的数据执行去初始化。因此，如果将 rsyslog 配置为使用磁盘辅助队列，但不指定假脱机文件，rsyslogd 可因分段错误而终止。通过此更新，可以妥善处理错误情况。(BZ #813084)

* 手册页错误地陈述了用于开启调试的“-d”选项'导致后台程序在前台运行，因而造成误导，因为当前行为是在前台运行。现在，手册页反映正确的行为。(BZ#820311)

* 即使在后台运行，rsyslog 也尝试将调试消息写入标准输出。这导致将调试信息写入其他某些输出。已对此进行了修正，因此在后台运行时，调试消息不再写入标准输出。(BZ# 820996)

* 用于容纳证书的可分辨名 (DN) 的字符串缓冲区太小。不显示长度超过 128 个字符的 DN。此更新增大了缓冲区以处理较长的 DN。
(BZ#822118)

增强：

* 支持速率限制和多行消息功能。现在，rsyslogd 可限制其通过 UNIX 套接字接受的消息数量。(BZ# 672182)

* 增加了“/etc/rsyslog.d/”配置目录，以提供 syslog 配置文件。(BZ#740420)

建议所有 rsyslog 用户升级这些更新后的程序包，以将 rsyslog 升级到版本 5.8.10 并修正这些问题和添加这些增强。安装此更新后，rsyslog 后台程序将自动重新启动。

rsyslog 程序包提供增强的多线程 syslog 后台程序。

在 rsyslog imfile 模块处理包含长行的文本文件的方式中发现了数值截断错误，可造成基于堆的缓冲区溢出。攻击者如果可以导致长行写入 rsyslogd 使用 imfile 监控的日志文件，则可利用此缺陷造成 rsyslogd 后台程序崩溃，或可能以 rsyslogd 的权限执行任意代码。默认不启用 imfile 模块。(CVE-2011-4623)

缺陷补丁：

- 多个变量未能使用传输层安全 (TLS) 传输和 PKCS#8 格式的密钥正确去初始化。提供了此格式的密钥时，rsyslogd 后台程序因分段错误而终止。现在可以正确去初始化这些变量。

- 以前，imgssapi 插件的初始化不完整。因此，rsyslogd 后台程序在配置为提供 GSSAPI 监听器时将终止。现在可以正确初始化该插件。

- 消息中使用的 localhost 的全限定域名 (FQDN) 是发现的第一个别名。这在多主机上不会始终达成预期的结果。
 通过此更新，算法使用与主机名对应的别名。

- 只要因 GnuTLS 库中的错误导致加载 gtls 模块，该模块都将泄漏文件描述符。达到文件描述符的计数限制时，不能打开任何新文件或网络连接。此更新修改 gtls 模块，使其在进程生命周期内不被卸载。

- rsyslog 不能替代主机名来为本地生成的消息设置备用主机名。
 但是，可以覆盖本地主机名。

- rsyslogd init 脚本未将锁定文件路径传递到“status”操作。因此，将忽略锁定文件并返回错误的退出代码。此更新修改 init 脚本以将锁定文件传递到“status”操作。现在，返回正确的退出代码。

- 如果为 rsyslogd 提供畸形假脱机文件，则可对数据错误地进行去初始化。rsyslogd 后台程序可因分段错误而终止。此更新修改底层代码以对数据正确执行去初始化。

- 以前，在某些错误情况下，可能对不存在的数据执行去初始化。因此，如果将 rsyslog 配置为使用磁盘辅助队列，但不指定假脱机文件，rsyslogd 可因分段错误而终止。通过此更新，可以妥善处理错误情况。

- 手册页错误地陈述了用于开启调试的“-d”选项导致后台程序在前台运行，因而造成误导，因为当前行为是在前台运行。现在，手册页反映正确的行为。

- 即使在后台运行，rsyslog 也会尝试将调试消息写入标准输出。这导致将调试信息写入其他某些输出。已对此进行了修正，因此在后台运行时，调试消息不再写入标准输出。

- 用于容纳证书的可分辨名 (DN) 的字符串缓冲区太小。不显示长度超过 128 个字符的 DN。此更新增大了缓冲区以处理较长的 DN。

增强：

- 支持速率限制和多行消息功能。现在，rsyslogd 可限制其通过 UNIX 套接字接受的消息数量。

- 增加了“/etc/rsyslog.d/”配置目录，以提供 syslog 配置文件。

建议所有 rsyslog 用户升级这些更新后的程序包，以将 rsyslog 升级到版本 5.8.10 并修正这些问题和添加这些增强。安装此更新后，rsyslog 后台程序将自动重新启动。

Peter Eisentraut 发现 Rsyslog 在被配置为使用 imfile 时未正确执行输入验证。如果攻击者可以在 Rsyslog 监控的文件中构建消息，则攻击者可造成拒绝服务。在 Ubuntu 中，imfile 模块默认被禁用。

在 rsyslog 中发现并修正了一个漏洞：

在增强型系统日志记录和内核消息诱捕后台程序 rsyslog 的 imfile 模块处理大于 64 KB 的文本文件的方式中发现一个整数符号错误，该错误导致基于堆的缓冲区溢出。启用了 imfile rsyslog 模块时，本地攻击者可利用此缺陷，通过要记录的特别构建的消息造成拒绝服务（rsyslogd 后台程序挂起）(CVE-2011-4623)。

更新后的程序包已进行修补，以修正此问题。

远程主机受到 GLSA-201412-35 中所述漏洞的影响（RSYSLOG：拒绝服务）

    已在 RSYSLOG 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    上下文有关的攻击者可能可以造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
68549	Oracle Linux 6：rsyslog (ELSA-2012-0796)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
69595	Amazon Linux AMI：rsyslog (ALAS-2012-105)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	low
59920	CentOS 6：rsyslog (CESA-2012:0796)	Nessus	CentOS Local Security Checks	2012/7/11	2021/1/4	low
61348	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 rsyslog	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	low
57662	Ubuntu 11.04：rsyslog 漏洞 (USN-1338-1)	Nessus	Ubuntu Local Security Checks	2012/1/24	2019/9/19	low
59710	Mandriva Linux 安全公告：rsyslog (MDVSA-2012:100)	Nessus	Mandriva Local Security Checks	2012/6/26	2021/1/6	low
59585	RHEL 6：rsyslog (RHSA-2012:0796)	Nessus	Red Hat Local Security Checks	2012/6/20	2021/1/14	low
80240	GLSA-201412-35 : RSYSLOG：拒绝服务	Nessus	Gentoo Local Security Checks	2014/12/26	2021/1/6	high

检测

插件搜索

high

low

low

low

low

low

low

high