リモートの SUSE Linux SLES11ホストには、SUSE-SU-2020:14353-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.4.48 より前の OpenLDAP のサーバーで問題が発見されました。サーバー管理者が特定のデータベースのrootDN(データベース管理者)権限を委任しながら隔離を保持(マルチテナント展開用など)する際、slapdは、別のデータベースからのrootDNのID認証リクエストをSASLバインドまたはproxyAuthz(RFC 4370)を使って適切に停止しません。(サーバー管理者とデータベース管理者が異なる信頼レベルを持つシステムを展開するのは一般的な設定ではありません。) (CVE-2019-13057)

  - 2.4.48 より前の OpenLDAP 2.x で問題が発見されました。SASL認証とセッション暗号化を使用し、slapdアクセスコントロールのSASLのセキュリティレイヤーに依存している場合、ACLでカバーされているIDに対する単純なバインドによって拒否されるはずのアクセス権限が取得される可能性があります。最初のSASLバインドが完了すると、sasl_ssfの値は新しい非SASL接続のために保持されます。ACLの設定によっては、これはさまざまな種類の操作(検索、変更など)に影響する可能性があります。
    つまり、あるユーザーが認証ステップに成功すると、別のユーザーの認証条件に影響があるということです。(CVE-2019-13565)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES11セキュリティ更新プログラム: openldap2 (SUSE-SU-2020:14353-1)

high Nessus プラグイン ID 150644

変更ログが見つかりません