远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:0416 公告中提及的多个漏洞的影响。

    389 Directory Server 是一款符合 LDAPv3 的服务器。基础程序包中包含轻型目录访问协议 (LDAP) 服务器和用于管理服务器的命令行实用工具。

    在 389 Directory Server 于 Changelog（通过“cn=changelog”LDAP 子树公开）中存储信息的方式中，发现了一个信息泄露缺陷。未经认证的用户在某些情况下可利用此缺陷读取变更日志中的数据，其中可能包括明文密码之类的敏感信息。
    (CVE-2014-8105)

    已发现将 nsslapd-unhashed-pw-switch 389 目录服务器配置选项设置为“off”时，无法阻止将反哈希的密码写入变更日志中。这可允许经过身份验证且可访问变更日志的用户读取敏感信息。(CVE-2014-8112)

    CVE-2014-8105 问题是 Red Hat 身份管理工程团队的 Petr paek 发现的，而 CVE-2014-8112 问题是 Red Hat 身份管理工程团队的 Ludwig Krispenz 发现的。

    增强：

    * 添加了新的 WinSync 配置参数 winSyncSubtreePair 用于同步多个子树，还添加了 winSyncWindowsFilter 和 winSyncDirectoryFilter 用于按过滤器同步受限的集合。
    (BZ#746646)

    * 现在能够在无需重新启动服务器以使变更生效的情况下停止、开始或配置插件。(BZ#994690)

    * 与 MODDN 和 MODRDN 操作相关的访问控制已更新：可在同一个访问控制指令中指定来源和目的目标。(BZ#1118014)

    * 添加了 nsDS5ReplicaBindDNGroup 属性，以便在要复制的绑定中使用群组识别名称。(BZ#1052754)

    * WinSync 现在支持范围检索。如果每个属性中存在的属性值均超过 MaxValRange 数目，WinSync 会使用范围检索将所有属性同步至目录服务器。
    (BZ#1044149)

    * 添加了对 RFC 4527 读取条目控制和 RFC 4533 内容同步操作 LDAP 标准的支持。(BZ#1044139, BZ#1044159)

    * 参照完整性 (referint) 插件现在可使用交替配置区域。PlugInArg 插件配置现在使用唯一的配置属性。配置更改不再需要重新启动服务器。(BZ#1044203)

    * logconv.pl 日志分析工具现在支持 gzip、bzip2 和 xz 压缩文件，同时还支持这些文件的 TAR 存档和压缩 TAR 存档。(BZ#1044188)

    * 只有目录管理器可以添加编码密码或强制用户在重置后更改其密码。passwordAdminDN 属性中定义的用户现在也可以执行此操作。(BZ#1118007)

    * 已将 nsslapd-memberofScope 配置参数添加到 MemberOf 插件。启用了 MemberOf 并定义了范围时，通过 MODRDN 操作将群组移出范围会失败。将成员条目移出范围现在会正确地删除 memberof 值。(BZ#1044170)

    - 已将 alwaysRecordLoginAttr 属性添加至帐户策略插件配置条目，从而允许区分用于检查帐户活动情况的属性和要在成功登录时进行更新的属性。(BZ#1060032)

    * 使用具有 '-s base -b'' 选项的 ldapsearch 命令的根 DSE 搜索仅返回用户属性而不返回操作属性。添加了“nsslapd-return-default”选项以向后兼容。(BZ#1118021)

    * MemberOf 插件的配置能够以映射到后端数据库的后缀进行存储，这允许复制 MemberOf 配置。(BZ#1044205)

    * 根据系统中提供的 NSS 库支持的范围，添加了对 SSL 版本的支持。
    由于存在 POODLE 漏洞，因而即使受到 NSS 支持也将默认禁用 SSLv3。(BZ#1044191)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 389 目录服务器存储变更日志中（通过“cn=changelog”LDAP 子树暴露）的信息的方式中发现信息泄露缺陷。未经认证的用户在某些情况下可利用此缺陷读取变更日志中的数据，其中可能包括明文密码之类的敏感信息。
(CVE-2014-8105)

已发现将 nsslapd-unhashed-pw-switch 389 目录服务器配置选项设置为“off”时，无法阻止将反哈希的密码写入变更日志中。这可允许经过认证且可访问变更日志的用户读取敏感信息。(CVE-2014-8112)

增强：

- 添加了新的 WinSync 配置参数：winSyncSubtreePair 用于同步多个子树，还添加了 winSyncWindowsFilter 和 winSyncDirectoryFilter 用于按过滤器同步受限的集合。

- 现在能够在无需重新启动服务器以使变更生效的情况下停止、开始或配置插件。

- 与 MODDN 和 MODRDN 操作相关的访问控制已更新：可在同一个访问控制指令中指定来源和目的目标。

- 添加了 nsDS5ReplicaBindDNGroup 属性，以便在要复制的绑定中使用群组可分辨名。

- WinSync 现在支持范围检索。如果每个属性中存在的属性值均超过 MaxValRange 数目，WinSync 会使用范围检索将所有属性同步至目录服务器。

- 添加了对 RFC 4527 读取条目控制和 RFC 4533 内容同步操作 LDAP 标准的支持。

- 参照完整性 (referint) 插件现在可使用交替配置区域。PlugInArg 插件配置现在使用唯一的配置属性。
 配置更改不再需要重新启动服务器。

- logconv.pl 日志分析工具现在支持 gzip、bzip2 和 xz 压缩文件，同时还支持这些文件的 TAR 存档和压缩 TAR 存档。

- 只有目录管理器可以添加编码密码或强制用户在重置后更改其密码。
 passwordAdminDN 属性中定义的用户现在也可以执行此操作。

- 已将“nsslapd-memberofScope”配置参数添加到 MemberOf 插件。在启用 MemberOf 并定义了范围的情况下，通过 MODRDN 操作将群组移出范围的尝试会失败。将成员条目移出范围现在会正确地删除 memberof 值。

- 已将 alwaysRecordLoginAttr 属性添加至帐户策略插件配置条目，从而允许区分用于检查帐户活动情况的属性和要在成功登录时进行更新的属性。

- 使用具有 '-s base -b ''' 选项的 ldapsearch 命令的根 DSE 搜索仅返回用户属性而不返回操作属性。添加了“nsslapd-return-default”选项以向后兼容。

- MemberOf 插件的配置能够以映射到后端数据库的后缀进行存储，这允许复制 MemberOf 配置。

- 根据系统中提供的 NSS 库支持的范围，添加了对 SSL 版本的支持。
 由于存在 POODLE 漏洞，因而即使受到 NSS 支持也将默认禁用 SSLv3。

更新后的 389-ds-base 程序包修复了两个安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

389 Directory Server 是一款符合 LDAPv3 的服务器。基础程序包中包含轻型目录访问协议 (LDAP) 服务器和用于管理服务器的命令行实用工具。

在 389 目录服务器存储变更日志中（通过“cn=changelog”LDAP 子树暴露）的信息的方式中发现信息泄露缺陷。未经认证的用户在某些情况下可利用此缺陷读取变更日志中的数据，其中可能包括明文密码之类的敏感信息。
(CVE-2014-8105)

已发现将 nsslapd-unhashed-pw-switch 389 目录服务器配置选项设置为“off”时，无法阻止将反哈希的密码写入变更日志中。这可允许经过认证且可访问变更日志的用户读取敏感信息。(CVE-2014-8112)

CVE-2014-8105 问题是 Red Hat 身份管理工程团队的 Petr Špaček 发现的，而 CVE-2014-8112 问题是 Red Hat 身份管理工程团队的 Ludwig Krispenz 发现的。

增强：

* 添加了新的 WinSync 配置参数 winSyncSubtreePair 用于同步多个子树，还添加了 winSyncWindowsFilter 和 winSyncDirectoryFilter 用于按过滤器同步受限的集合。
(BZ# 746646)

* 现在能够在无需重新启动服务器以使变更生效的情况下停止、开始或配置插件。(BZ#994690)

* 与 MODDN 和 MODRDN 操作相关的访问控制已更新：可在同一个访问控制指令中指定来源和目的目标。(BZ#1118014)

* 添加了 nsDS5ReplicaBindDNGroup 属性，以便在要复制的绑定中使用群组识别名称。(BZ#1052754)

* WinSync 现在支持范围检索。如果每个属性中存在的属性值均超过 MaxValRange 数目，WinSync 会使用范围检索将所有属性同步至目录服务器。
(BZ#1044149)

* 添加了对 RFC 4527 读取条目控制和 RFC 4533 内容同步操作 LDAP 标准的支持。（BZ#1044139、BZ#1044159）

* 参照完整性 (referint) 插件现在可使用交替配置区域。PlugInArg 插件配置现在使用唯一的配置属性。配置更改不再需要重新启动服务器。(BZ#1044203)

* logconv.pl 日志分析工具现在支持 gzip、bzip2 和 xz 压缩文件，同时还支持这些文件的 TAR 存档和压缩 TAR 存档。(BZ#1044188)

* 只有目录管理器可以添加编码密码或强制用户在重置后更改其密码。passwordAdminDN 属性中定义的用户现在也可以执行此操作。(BZ#1118007)

* 已将“nsslapd-memberofScope”配置参数添加到 MemberOf 插件。在启用 MemberOf 并定义了范围的情况下，通过 MODRDN 操作将群组移出范围的尝试会失败。将成员条目移出范围现在会正确地删除 memberof 值。
(BZ#1044170)

* 已将 alwaysRecordLoginAttr 属性添加至帐户策略插件配置条目，从而允许区分用于检查帐户活动情况的属性和要在成功登录时进行更新的属性。(BZ#1060032)

* 使用具有 '-s base -b'' 选项的 ldapsearch 命令的根 DSE 搜索仅返回用户属性而不返回操作属性。添加了“nsslapd-return-default”选项以向后兼容。(BZ#1118021)

* MemberOf 插件的配置能够以映射到后端数据库的后缀进行存储，这允许复制 MemberOf 配置。(BZ#1044205)

* 根据系统中提供的 NSS 库支持的范围，添加了对 SSL 版本的支持。由于存在 POODLE 漏洞，因而即使受到 NSS 支持也将默认禁用 SSLv3。(BZ#1044191)

在 389 Directory Server 于 Changelog（通过“cn=changelog”LDAP 子树公开）中存储信息的方式中，发现了一个信息泄露缺陷。未经认证的用户在某些情况下可利用此缺陷读取变更日志中的数据，其中可能包括明文密码之类的敏感信息。
(CVE-2014-8105)

已发现将 nsslapd-unhashed-pw-switch 389 目录服务器配置选项设置为“off”时，无法阻止将反哈希的密码写入变更日志中。这可允许经过身份验证且可访问变更日志的用户读取敏感信息。(CVE-2014-8112)

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2015-0416 公告中提及的多个漏洞影响。

    - 解决了缺陷 1172731 - CVE-2014-8112 当“nsslapd-unhashed-pw-switch”设置为 off 时会绕过密码哈希
    - 解决了缺陷 1168151 - 通过“cn=changelog”子树发生的 CVE-2014-8105 信息泄露

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

安装有安全缺陷补丁的版本 1.3.3.9

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
81634	RHEL 7：389-ds-base (RHSA-2015:0416)	Nessus	Red Hat Local Security Checks	2015/3/5	2025/3/20	medium
82248	Scientific Linux 安全更新： SL7.x x86_64 中的 389-ds-base	Nessus	Scientific Linux Local Security Checks	2015/3/26	2021/1/14	medium
81893	CentOS 7：389-ds-base (CESA-2015:0416)	Nessus	CentOS Local Security Checks	2015/3/18	2021/1/4	medium
82508	Amazon Linux AMI：389-ds-base (ALAS-2015-501)	Nessus	Amazon Linux Local Security Checks	2015/4/2	2018/4/18	medium
81724	Oracle Linux 7：389-ds-base (ELSA-2015-0416)	Nessus	Oracle Linux Local Security Checks	2015/3/10	2025/4/29	medium
82543	Fedora 22：389-ds-base-1.3.3.9-1.fc22 (2015-3368)	Nessus	Fedora Local Security Checks	2015/4/3	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium