Scientific Linux セキュリティ更新：SL5.x の openssh

medium Nessus プラグイン ID 60296

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

問題の説明：

ssh サーバーがアカウント名を監査サブシステムに書き込む方法に欠陥が見つかりました。攻撃者が、監査メッセージの一部が含まれる文字列を注入し、これにより監査ログ解析ツールが錯乱または混乱する可能性があります。（CVE-2007-3102）

OpenSSH サーバーが GSSAPI 認証リクエストを処理する方法で、欠陥が見つかりました。OpenSSH サーバーで GSSAPI 認証が有効になっているときに、リモートの攻撃者は、ユーザー名が有効かどうかを確認できることがあります。（CVE-2006-5052）

SELinux MLS（Multi-Level Security）サポートにおける次のバグがこの更新により修正されています：

- ssh を使用してログインする際、SELinux のロールとレベルを選択することができないことがありました。

- ユーザーが非デフォルトの SELinux ロールあるいはレベルを取得した場合、ロール変更が監査サブシステムに記録されていませんでした。

- いくつかの場合においては、ラベル付されたネットワークにて、sshd が本来許されていないレベル範囲からのログインを許容することがありました。

更新済みのパッケージはさらに、クライアント認証用の PKCS#11 トークンに保存されている秘密鍵の使用に対する実験的なサポートを含みます。サポートは NSS（Network Security Services）ライブラリから提供されます。