Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の vixie-cron

low Nessus プラグイン ID 61273

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

vixie-cron パッケージには cron の Vixie バージョンが含まれています。Cron は UNIX 標準のデーモンであり、予定時刻に指定のプログラムを実行します。
vixie-cron パッケージのセキュリティが改善され、cron の標準バージョンに以前より強力な構成オプションが追加されています。

crontab プログラムが、ユーザーの crontab ファイルの編集時に作成された一時ファイルでファイルのタイムスタンプを更新する方法で、競合状態が見つかりました。ローカルの攻撃者が、この欠陥を利用することにより、シンボリックリンク攻撃で任意のシステムファイルの変更時刻を変更する可能性があります。（CVE-2010-0424）

この更新は以下のバグも修正します：

- ホームディレクトリが Lightweight Directory Access Protocol（LDAP）サーバーまたは Network File System（NFS）にマウントされている場合、ユーザーの cron ジョブ拒絶されることがしばしばあります。ジョブが「orphaned」とマークされるからです（通常は、NIS および LDAP サーバーに到達できない場合、一時的に NSS 検索が失敗するため）。この更新により、孤立ファイルのデータベースが作成され、cron ジョブは期待通りに実行されます。

- 以前は、/etc/cron.d/ ディレクトリにある cron ジョブファイルに無効なエントリがある場合でも、cron がエラーをログに記録しないことがありました。現在は、上流パッチが適用され、この問題は解決され、cron ジョブファイルに無効なエントリがある場合には警告メッセージが生成されます。

- 以前は、crond デーモンを再起動する際に、「@reboot」crontab マクロがジョブを間違って実行することがありました。ユーザーが複数のマシンでマクロを使用する場合、 crond デーモンを再起動する度に「@reboot」オプションのすべてのエントリが実行されることがありました。この更新により、ジョブはマシンが再起動される場合にだけ実行されます。

- 現在は、crontab ユーティリティは Position Independent Executables（PIE）でコンパイルされていて、システムのセキュリティは向上しています。

- 親 crond デーモンが停止されても子 crond デーモンが実行されたままの場合（プログラムを実行中）、「service crond status」コマンドが間違って crond を実行中と報告することがありました。現在は、ソースコードが修正され、「service crond status」コマンドは crond が終了したことを正しく報告します。

- pam(8) マニュアルページによると、cron デーモンである crond は PAM（Pluggable Authentication Module）によるアクセスコントロールをサポートしています。ただし、crond 用の PAM構成ファイルは環境変数を正しくエクスポートせず、このため cron による PAM 変数の設定はきちんと動作していませんでした。この更新には /etc/pam.d/crond の修正が含まれていて、環境変数が適切にエクスポートされるようになっています。現在は、cron による pam 変数の設定は、 pam(8) マニュアルページの説明通り正しく動作します。

- 以前、mcstransd デーモンは crond デーモン用のラベルを変更していました。crond デーモンが変更されたラベルを使用しようとし、mcstransd が実行されていない場合、crond は正しくないラベルを使用していまいｓた。したがって、cron ログが Security-Enhanced Linux（SELinux）の拒否により書き込まれ、ジョブが実行されず、crond を再起動しなければならなくなります。この更新により、mcstransd と crond の両方は Raw SELinux ラベルを利用しているため、この問題は防止されています。

- 以前は、crontab(1) と cron(8) のマニュアルページには複数の誤字がありました。この更新はこれらのエラーを修正します。

また、この更新は以下の拡張機能も追加します：

- 以前は、crontab ユーティリティはユーザーを検証するために Pluggable Authentication Module（PAM）を利用していませんでした。その結果、アクセスが制限されている場合でも、ユーザーが crontab にアクセスする可能性がありました（通常は access.conf ファイルで拒否されます）。この更新により、 crontab は、PAM 構成であるためユーザーを crontab へアクセスすることを許可しないというエラーメッセージを返すようになりました。

vixie-cron の全ユーザーは、この更新済みパッケージへアップグレードし、これらの問題を解決し、拡張機能を追加する必要があります。