Oracle Linux 6：samba4（ELSA-2014-0383）
critical Nessus プラグイン ID 73450
Language:
概要
リモート Oracle Linux ホストに、1 つ以上のセキュリティ更新がありません。説明
Red Hat セキュリティアドバイザリ 2014:0383 から：3 件のセキュリティ問題を修正する更新済みの samba4 パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。
Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
Samba は Server Message Block （SMB）プロトコルまたは Common Internet File System（CIFS）プロトコルのオープンソース実装であり、これを使用すると PC 互換機がファイル、プリンター、その他の情報を共有できるようになります。
特定の Samba 構成では、パスワードのロックアウトメカニズムが強制されないことが、見つかりました。リモートの攻撃者は、この欠陥を利用して、 Samba のユーザーアカウントで、パスワード推測攻撃を実行する可能性があります。注：この欠陥が影響するのは、プライマリドメインコントローラーとして配備されているときの Samba のみでした。
（CVE-2013-4496）
Samba の「smbcacls」コマンドに欠陥が見つかりました。このコマンドは、SMB ファイル共有で ACL を設定または取得するために使用されます。このコマンドの特定のコマンドラインオプションにより、ファイルまたはディレクトリで以前に適用された ACL が不適切に削除されることがあり、ファイルまたはディレクトリが、意図した ACL がないままになることがあります。（CVE-2013-6442）
pam_winbind モジュールによって、存在しないグループを必須として指定する構成が処理される方法で、欠陥が見つかりました。認証されたユーザーが、この欠陥を利用して、グループ制限がサービスへのアクセスのために意図されている場合に、 PAM 構成で pam_winbind を使用して、サービスへのアクセス権を取得する可能性があります。（CVE-2012-6150）
Red Hat は、CVE-2013-4496 および CVE-2013-6442 を報告してくれた Samba プロジェクト、および CVE-2012-6150 を報告してくれた Sam Richardson に、感謝の意を表します。Upstream では、Andrew Bartlett を CVE-2013-4496 の、 Noel Power を CVE-2013-6442 の、最初の報告者と認識しています。
Samba の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新をインストールすると、smb サービスが自動的に再起動されます。
ソリューション
影響を受ける samba4 パッケージを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 73450
ファイル名: oraclelinux_ELSA-2014-0383.nasl
バージョン: 1.10
タイプ: local
エージェント: unix
公開日: 2014/4/10
更新日: 2024/10/22
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.3
CVSS v2
リスクファクター: Medium
基本値: 5.8
現状値: 4.5
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS スコアのソース: CVE-2013-6442
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2013-4496
脆弱性情報
CPE: p-cpe:/a:oracle:linux:samba4-libs, p-cpe:/a:oracle:linux:samba4-common, p-cpe:/a:oracle:linux:samba4-test, p-cpe:/a:oracle:linux:samba4-dc, p-cpe:/a:oracle:linux:samba4-python, p-cpe:/a:oracle:linux:samba4-winbind-krb5-locator, p-cpe:/a:oracle:linux:samba4-devel, p-cpe:/a:oracle:linux:samba4-dc-libs, p-cpe:/a:oracle:linux:samba4-client, p-cpe:/a:oracle:linux:samba4-swat, p-cpe:/a:oracle:linux:samba4-winbind, cpe:/o:oracle:linux:6, p-cpe:/a:oracle:linux:samba4, p-cpe:/a:oracle:linux:samba4-pidl, p-cpe:/a:oracle:linux:samba4-winbind-clients
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2014/4/9
脆弱性公開日: 2013/12/3
参照情報
CVE: CVE-2012-6150, CVE-2013-4496, CVE-2013-6442
RHSA: 2014:0383