CentOS 6：sssd（CESA-2013:0508）
medium Nessus プラグイン ID 65142
Language:
概要
リモート CentOS ホストに１つ以上のセキュリティ更新がありません。説明
2 つのセキュリティ問題と複数のバグを修正し、様々な拡張機能を追加する更新済みの sssd パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
システムセキュリティサービスデーモン（SSSD）が、リモートディレクトリと認証メカニズムへのアクセスを管理するためにデーモンのセットを提供します。
システムとプラグ可能なバックエンドシステムに対して NSS と PAM のインターフェイスを提供し、複数の異なるアカウントソースに接続できるようにします。これは、FreeIPA などのプロジェクトのために、クライアントに監査およびポリシーサービスを提供する基盤でもあります。
SSSD がユーザーのホームディレクトリをコピーおよび削除する方法に、競合状態が見つかりました。削除されている別のユーザーのホームディレクトリに書き込みができるローカルの攻撃者は、この欠陥を利用してシンボリックリンク攻撃を実行したり、root ユーザーの権限で任意のファイルの変更や削除を行う可能性があります。
(CVE-2013-0219)
autofs および SSH サービスレスポンダーが特定の SSSD パケットを解析する方法に、領域外メモリ読み込みの欠陥が複数見つかりました。攻撃者は特別に細工されたパケットを送信し、autofs または SSH サービスレスポンダーによって処理された場合、SSSD がクラッシュする可能性があります。
SSSD はクラッシュ後に、監視プロセスによって自動的に再起動するため、この問題が引き起こすのは一時的なサービス拒否のみです。
(CVE-2013-0220)
CVE-2013-0219 および CVE-2013-0220 の問題は、Red Hat 製品セキュリティチームの Florian Weimer 氏によって発見されました。
これらの更新済み sssd パッケージには、多数のバグ修正および拡張機能も含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.4 テクニカルノートを参照してください。
SSSD のすべてのユーザーは、SSSD を Upstream バージョン 1.9 にアップグレードするこれらの更新済みパッケージにアップグレードし、これらのバグを修正し、拡張機能を追加することが推奨されます。
ソリューション
影響を受ける sssd パッケージを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 65142
ファイル名: centos_RHSA-2013-0508.nasl
バージョン: 1.12
タイプ: local
エージェント: unix
ファミリー: CentOS Local Security Checks
公開日: 2013/3/10
更新日: 2021/1/4
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.2
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS スコアのソース: CVE-2013-0220
脆弱性情報
CPE: p-cpe:/a:centos:centos:libipa_hbac, p-cpe:/a:centos:centos:libipa_hbac-devel, p-cpe:/a:centos:centos:libipa_hbac-python, p-cpe:/a:centos:centos:libsss_autofs, p-cpe:/a:centos:centos:libsss_idmap, p-cpe:/a:centos:centos:libsss_idmap-devel, p-cpe:/a:centos:centos:libsss_sudo, p-cpe:/a:centos:centos:libsss_sudo-devel, p-cpe:/a:centos:centos:sssd, p-cpe:/a:centos:centos:sssd-client, p-cpe:/a:centos:centos:sssd-tools, cpe:/o:centos:centos:6
必要な KB アイテム: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2013/3/8
脆弱性公開日: 2013/2/24
参照情報
CVE: CVE-2013-0219, CVE-2013-0220
BID: 57539
RHSA: 2013:0508