Oracle Linux 5：quota（ELSA-2013-0120）
medium Nessus プラグイン ID 68691
Language:
概要
リモート Oracle Linux ホストにセキュリティ更新がありません。説明
Red Hat セキュリティアドバイザリ 2013:0120 から：1 つのセキュリティの問題と複数のバグを修正する更新済みの quota パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。
Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。
quota パッケージは、ファイルシステムでユーザーやグループによるディスク使用率を監視し、制限するシステム管理ツールを提供します。
rpc.rquotad サービスが、 tcp_wrappers を適切に使用していないことが判明しました。「/etc/hosts.allow」および「/etc/hosts.deny」で定義された、特定のホストアクセスのルールが守られず、本来守られるべきアクセス制限をリモートの攻撃者がバイパスしていた可能性があります。(CVE-2012-3417)
この問題は、Red Hat セキュリティレスポンスチームにより発見されました。
この更新は以下のバグも修正します：
* この更新が出る前では、クォータの値が 2^32 キロバイト以上であると、クォータの使用率やネットワークマウントのファイルシステム制限を照会する場合に、値がリモートプロシージャコール（RPC）により適切に転送されず、クライアントによって解釈されていました。結果として、クライアントは誤った値をレポートしていました。この更新では、このような値がクライアントによって正しく解釈されるように、下層にあるコードが変更されています。
（BZ#667360）
* この更新が出る前は、warnquota ツールの警告メールの送信が有効で、スーパーユーザーが warnquota のデフォルト構成を変更していない場合に、warnquota は有効なドメイン名のクォータ制限を超えたことについてメッセージを送信していました。結果として、受信者が無効なアドレスに返信する可能性があります。この更新は、予約されている example.com ドメインを使用するように、 warnquota のデフォルト設定を変更します。現在は、クォータ制限を超えたことについての警告は、予約されているドメインから送信され、これがスーパーユーザーに正しい値へ変更するように通知します。（BZ#680429）
* 以前は、クォータユーティリティがファイルシステムでクォータが有効であることを認識できず、/etc/mtab が間違って更新されるため操作を拒否していました。この更新では、クォータが有効であるファイルシステムのリストを取得できる /proc/mounts が優先されます。現在は、予期していた通りに、クォータユーティリティはクォータが有効であるファイルシステムを認識します。（BZ#689822）
* この更新が出る前は、XFS ファイルシステムの setquota(8) ツールはディスクの制限を 2^31 キロバイトを超える値に設定できませんでした。この更新により、 setquota(8) ツールの整数コンバージョンが変更され、このような値を保存するのに充分な 64 ビットの変数を使用するようになっています。（BZ#831520）
quota の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を解決することが推奨されます。
ソリューション
影響を受ける quota パッケージを更新してください。参考資料
https://oss.oracle.com/pipermail/el-errata/2013-January/003197.html
プラグインの詳細
深刻度: Medium
ID: 68691
ファイル名: oraclelinux_ELSA-2013-0120.nasl
バージョン: 1.9
タイプ: local
エージェント: unix
公開日: 2013/7/12
更新日: 2021/1/14
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.7
CVSS v2
リスクファクター: Medium
基本値: 4
現状値: 3
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:N
脆弱性情報
CPE: p-cpe:/a:oracle:linux:quota, cpe:/o:oracle:linux:5
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2013/1/12
脆弱性公開日: 2012/8/13
参照情報
CVE: CVE-2012-3417
BID: 55066
RHSA: 2013:0120