openSUSEセキュリティ更新プログラム：proftpd（openSUSE-2020-31）
critical Nessus プラグイン ID 132911
Language:
概要
リモートのopenSUSEホストに、セキュリティ更新プログラムがありません。説明
このproftpdの更新では、次の問題を修正します：- GeoIPがMaxmindによって廃止されました（boo#1156210）。この更新により、geoipのモジュールビルドが削除されます。https://support.maxmind.com/geolite-legacy-discontinuation-notice/を参照してください
- CVE-2019-19269：サーバーに接続しているクライアントの証明書の検証時に発生する可能性のあるNULLポインターデリファレンスを修正しました（boo#1157803）
- CVE-2019-19270：CRLエントリに適切なフィールドのチェックの失敗によって一部の有効なCRLが考慮されない問題を修正しました（boo#1157798）
- CVE-2019-18217：過度に長いコマンドの不適切な処理が原因のリモート未認証サービス拒否を修正しました（boo#1154600 gh#846）
1.3.6bへの更新
- 事前認証リモートサービス拒否の問題を修正しました（問題#846）。
- MySQL 8を使用してmod_sql_mysqlをビルドするための修正をバックポートしました（問題#824）。
1.3.6bへの更新：
- シンボリックリンクナビゲーションを修正しました（Bug#4332）。
- OpenSSL 1.1.xリリースを使用したmod_sftpのビルドを修正しました （Issue#674）。
- <Limit>の制限のSITE COPYの順守を修正しました（Bug#4372）。
- mod_sftp + mod_sftp_pamの使用時のログインでのセグメンテーション違反を修正しました（Issue#656）。
- mod_faclを静的モジュールとして使用する際の再起動を修正しました
- Leap 15とTumbleweedで欠落していたRequires（pre）：group（ftp）を追加します（boo#1155834）
- 欠落していたRequires（pre）：user（ftp）を追加します（boo#1155834）
- pam_keyinit.soを使用します（boo#1144056）
- systemd上のハードの依存関係をビルドとインストールに必要なものだけに減らします。
1.3.6 への更新：
- キャッシング、ロギングに対するRedisの使用のサポート。doc/howto/Redis.htmlドキュメントを参照してください。
- mod_sql_postgres SSLサポートを修正しました（問題#415）。
- OpenSSLの代わりにLibreSSLに対するビルドをサポートします（問題#361）。
- AIX上でのログイン制限に対するサポートを改善します（バグ#4285）。
- TimeoutLogin（およびその他のタイムアウト）がSFTP接続で正しく機能しませんでした（Bug#4299）。
- デーモンプロセスによるSIGILL信号とSIGINT信号の処理が原因で子プロセスも終了するようになりました（問題#461）。
- RPM .specファイルの名前付けが、Fedoraのガイドラインに適合するように変更されました。
- シンボリックリンクの各コンポーネントをチェックする「AllowChrootSymlinks off」の修正（CVE-2017-7418）。
新しいモジュール：
- mod_redis、mod_tls_redis、mod_wrap2_redisとRisisがキャッシングメカニズムとしてサポートされるようになりました。Memcacheと同様に、Redis使用モジュールが存在します：mod_redis（Redis接続情報を構成する）、mod_tls_redis（Redisを使用してSSLセッションとOCSP情報をキャッシュする）、およびmod_wrap2_redis（Redisに保存されたACLを使用する）。
変更されたモジュール：
- mod_ban：mod_banモジュールのBanCacheディレクティブで、Redisベースのキャッシングが使用できるようになりました。doc/contrib/mod_ban.html#BanCacheを参照してください。
- 新しい構成ディレクティブ
- SQLPasswordArgon2、SQLPasswordScrypt
Argon2およびScryptベースのパスワードのキー長が、これらの新しいディレクティブ経由で構成できるようになりました。
これまでは、キー長が32バイトになるようにハードコードされていました。これでは、他のすべての実装と相互運用できません（問題#454）。
変更された構成ディレクティブ
- AllowChrootSymlinks：「AllowChrootSymlinks off」が使用されている場合は、DefaultRootパスの最後の部分のみがシンボリックリンクであるかどうかがチェックされます。現在は、「AllowChrootSymlinks off」が使用されている場合は、DefaultRootパスの各コンポーネントがシンボリックリンクであるかどうかがチェックされます。
- Include：Includeディレクティブが<Limit>セクション内で使用できるようになりました。例：<Limit LOGIN> Include /path/to/allowed.txt DenyAll </Limit> APIの変更
- サードパーティモジュールによって使用される新しいJSON APIが追加されました。
ソリューション
影響を受けるproftpdパッケージを更新してください。参考資料
https://bugzilla.opensuse.org/show_bug.cgi?id=1113041
https://bugzilla.opensuse.org/show_bug.cgi?id=1144056
https://bugzilla.opensuse.org/show_bug.cgi?id=1154600
https://bugzilla.opensuse.org/show_bug.cgi?id=1155834
https://bugzilla.opensuse.org/show_bug.cgi?id=1156210
https://bugzilla.opensuse.org/show_bug.cgi?id=1157798
https://bugzilla.opensuse.org/show_bug.cgi?id=1157803
https://support.maxmind.com/geolite-legacy-discontinuation-notice/
プラグインの詳細
深刻度: Critical
ID: 132911
ファイル名: openSUSE-2020-31.nasl
バージョン: 1.3
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2020/1/15
更新日: 2024/3/29
サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 5.9
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2019-12815
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:opensuse:proftpd, p-cpe:/a:novell:opensuse:proftpd-debuginfo, p-cpe:/a:novell:opensuse:proftpd-debugsource, p-cpe:/a:novell:opensuse:proftpd-devel, p-cpe:/a:novell:opensuse:proftpd-lang, p-cpe:/a:novell:opensuse:proftpd-ldap, p-cpe:/a:novell:opensuse:proftpd-ldap-debuginfo, p-cpe:/a:novell:opensuse:proftpd-mysql, p-cpe:/a:novell:opensuse:proftpd-mysql-debuginfo, p-cpe:/a:novell:opensuse:proftpd-pgsql, p-cpe:/a:novell:opensuse:proftpd-pgsql-debuginfo, p-cpe:/a:novell:opensuse:proftpd-radius, p-cpe:/a:novell:opensuse:proftpd-radius-debuginfo, p-cpe:/a:novell:opensuse:proftpd-sqlite, p-cpe:/a:novell:opensuse:proftpd-sqlite-debuginfo, cpe:/o:novell:opensuse:15.1
必要な KB アイテム: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2020/1/13
脆弱性公開日: 2017/4/4
参照情報
CVE: CVE-2017-7418, CVE-2019-12815, CVE-2019-18217, CVE-2019-19269, CVE-2019-19270