Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の dovecot

medium Nessus プラグイン ID 60524

Language:

概要

リモート Scientific Linux ホストに、セキュリティ更新がありません。

説明

Dovecot の ACL プラグインに欠陥が見つかりました。ACL プラグインは、ネガティブなアクセス権をポジティブな権限として処理していました。これにより、攻撃者が意図されたアクセス制限をバイパスする可能性がありました。（CVE-2008-4577）

Dovecot の構成ファイルに、パスワード漏洩の欠陥が見つかりました。システムに「ssl_key_password」オプションが定義されていた場合、ローカルユーザーが、SSL 鍵のパスワードを閲覧する可能性がありました。（CVE-2008-4870）

注意：この欠陥により、攻撃者が SSL 鍵のコンテンツを取得できることはありませんでした。パスワードには、任意のユーザーが読み取りアクセス権を持たないはずの鍵ファイルなしの値がありません。

ただし、この値をさらに保護するために、dovecot.conf ファイルが「!include_try」ディレクティブをサポートするようになりました。ssl_key_password オプションは、dovecot.conf から、root によって所有され、これによってのみ読み書き可能な新しいファイルへ移動されるはずです（ie 0600）。このファイルは、「!include_try [/path/to/password/file]」オプションを設定することで dovecot.conf から参照されるはずです。

また、この更新では、次のバグに対処しています。

- dovecot init スクリプト -- /etc/rc.d/init.d/dovecot -- は、dovecot バイナリまたは構成ファイルが存在するかどうかをチェックしませんでした。また、誤った pid ファイルを使用して dovecot サービスのステータスをチェックします。この更新には、これらのエラーを修正する新しい init スクリプトが含まれています。

- dovecot spec ファイルの %files セクションには、「%dir %{ssldir}/private」が含まれていませんでした。結果として、/etc/pki/private/ ディレクトリは dovecot によって所有されませんでした。
（注：/etc/pki/private/ 内のファイルは、現在まで dovecot によって所有されています。）この更新では、欠落していた行が spec ファイルに追加され、注記付きのディレクトリが dovecot によって所有されるようになりました。

- 一部の過去にリリースされたバージョンの dovecot では、認証プロセスが、dovecot の内部プロトコルに対して特別な意味を持つ文字が含まれたパスワードを受け入れていました（そして未エスケープで通過）。この更新済みリリースでは、こうしたパスワードが通過するのを防ぎ、代わりにエラー「Attempted login with password having illegal chars」（不正な文字があるパスワードによるログインが試行されました）を返します。

注：Scientific Linux 5 に同梱されていた以前のバージョンの dovecot は、この挙動を許可しませんでした。この更新では上記の問題に対処していますが、この問題は Scientific Linux 5 に以前は同梱されていなかったバージョンの dovecot にのみ存在します。