1 つのセキュリティ問題を修正する更新済みの ipa-client パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Identity Management は集中化された認証で、従来型の環境およびクラウドベースのエンタープライズ環境の両方に対して管理および認証ソリューション特定します。

IPA ドメインへの参加を初めて試みるとき、IPA クライアントが IPA サーバーと通信する方法に、脆弱性が見つかりました。参加する際、 IPA サーバーの認証局（CA）証明書をクライアントに提供する安全な方法がないため、IPA クライアントの参加プロセスは中間者攻撃に対して影響を受けやすくなっていました。この欠陥により攻撃者は、管理者の認証情報で参加が行われた場合、IPA クライアントが提供する認証情報を使用して IPA サーバーへのアクセスを取得できるようになります。なお、これにはドメイン全体に対する管理アクセスが含まれます。(CVE-2012-5484)

注：この脆弱性はクライアントがレルムに初めて参加する際だけに、危険にさらされます。これは、IPA クライアントがその時点ではサーバーの CA 証明書を取得していないためです。IPA クライアントがレルムに参加し、IPA サーバーの CA 証明書を取得すれば、その後の通信は安全になります。クライアントがレルムへの参加に OTP（ワンタイムパスワード）方式を使用している場合、攻撃者はサーバーに対して権限のないアクセスのみを取得できます（レルムにのみ参加するには十分）。

Red Hat は、この問題を報告してくれた Petr Menšík 氏に感謝の意を表します。

この欠陥の修正プログラムがクライアントに適用されているが、サーバーに適用されていない場合、不在モードでの ipa-client-install は、適切な CA 証明書をローカルに所有していなければ失敗します。証明書をセキュアでない方法で取得するには、「--force」オプションを使用する必要があることに注意してください。対話モードでは、証明書は LDAP から安全に取得されるように試行されます。これが失敗する場合は、HTTP から安全でない方法での証明書のダウンロードに関するダイアログが表示されます。同じように OTP を使用する場合、 LDAP はクエリされず、HTTP から安全でない方法での証明書のダウンロードに関するダイアログが表示されます。

ipa-client のユーザーは、この更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

検出

CentOS 5：ipa-client（CESA-2013:0189）

high Nessus プラグイン ID 63673

変更ログが見つかりません