OracleVM 3.3：krb5 （OVMSA-2014-0034）

high Nessus プラグイン ID 79549

Language:

概要

リモートの OracleVM ホストにセキュリティ更新がありません。

説明

リモートの OracleVM システムに、重要なセキュリティ更新に対処するために必要なパッチがありません。

- 実際にその最後のパッチを適用します

- MITKRB5-SA-2014-001 の修正を取り込みます（CVE-2014-4345、#1128157）

- ksu：.k5users を評価する際に、実行するコマンドが渡されていない場合は .k5users のデータを破棄しません。これは、ターゲットユーザーのシェルを実行しようとしていることを暗黙的に意味します（#1026721、改訂）

- ksu：.k5users を評価する際に、プリンシパル名だけがある行を、プリンシパル名の後に｢*｣が続いているかのように取り扱うとともに、実行するコマンドが渡されていない場合に .k5users のデータを破棄しません。これは、ターゲットユーザーのシェルを実行しようとしていることを暗黙的に意味します（#1026721、改訂）

- gssapi：spnego に存在する NULL 逆参照の可能性に対して、Upstreame の修正を導入します（CVE-2014-4344、#1121510）

- gssapi：イニシエーターに存在する二重解放に対して提案されて承認された修正を導入します（David Woodhouse 氏、CVE-2014-4343、#1121510）

- （CVE-2013-1418、CVE-2013-6800）のためにバックポートされた修正に存在する、型の間違いを訂正します。

- 無効な形式の GSSAPI トークンの注入によるサービス拒否に対して、バックポートされた修正を導入します（CVE-2014-4341、CVE-2014-4342、#1121510）

- 複数のレルムに同時に対応できる KDC のリモートクラッシュに対して、バックポートされたパッチを取り込みます（RT#7756、CVE-2013-1418/CVE-2013-6800、以下の 1 つ以上

- リファーラルの追跡中に途中でマスターから応答を 1 つ得られる場合は、常にマスター KDC からの応答を必要としないようにするために、パッチのバックポートを導入します（RT#7650、#1113652）

- ksu：-e フラグを使用していない場合は、ターゲットユーザーの .k5users ファイルを通じて承認をチェックする際に、ターゲットユーザーのシェルを使用します（#1026721）

- EAI_NODATA を使用するファイルで _GNU_SOURCE を定義し、宣言されていることを確認します（#1059730）

- spnego：同じメカニズムに複数の OID がある場合、イニシエーターが要求するメカニズムの OID の保持を復元するために、マスターからのパッチを導入します。これにより、同じメカニズムの OID を使用して返信するとともに、イニシエーターが混乱することがないようにします（#1087068、RT#7858）

- encrypt_credencpart から呼び出された際に krb5_encrypt_helper がエラーを返す場合は、Jatin Nansi 氏提供のパッチを追加して、NULL アドレスでのメモリクリアの試行を回避します（#1055329、導入 #158）

- パッチをドロップして、ksu に対する追加のアクセスチェックを加えます - メリットをもたらすことはありません

- Nikolai Kondrashov 氏からのパッチを適用して、/etc/sysconfig/krb5kdc に設定されたデフォルトのレルムを kdb_check_weak ヘルパーに渡します。こうすることで、krb5.conf にレルムが設定されていない場合にエラーが発生しません（#1009389）

- パッケージ：廃止しません：krb5-pkinit-openssl の古いバージョンおよび仮想の提供：
EL6 の krb5-pkinit-openssl、そのいずれについても心配する必要はありません（#1001961）

- pkinit：設定されていない場合にプロンプターのコールバックを呼び出す試行を回避するために、調整をバックポートします（#965721 の一部）

- pkinit：秘密鍵を読み取る際にパスワードをプロンプトするために、プロンプターのコールバックを使用する機能をバックポートします（the rest of #965721）

- TCP での応答の長さを読み取る際に短い読み取りでスピンしないようにするために、修正をバックポートします（RT#7508、#922884）

- AP-REQ の読み取りでアクセプターの名前が制限されていない場合に、すべての互換の鍵を試行する修正をバックポートします（RT#7883、#1070244）

- GSS アクセプターの転送済みレルムのリストを検証できないことに対する修正をバックポートします（RT#7639、#959685）

- KDC で FAST リクエストを解析する際の、メッセージのタイプの追跡に関する修正を導入します（RT#7605、#951965）

- Upstream のパッチを取り込んで、特定の TGS リクエストを処理する際の NULL ポインターデリファレンスを修正します（CVE-2013-1416、#950343）

- Upstream のパッチを取り込んで、クライアントが他の点では正常に見える PKINIT リクエストを提供する際の NULL ポインターデリファレンスを修正します（CVE-2013-1415、#917910）

- パッチを追加して、draft9 PKINIT リクエストを処理する際の KDC での NULL ポインターの逆参照を回避します（#917910、CVE-2012-1016）

- kpasswd サービスでの UDP ping-pong 欠陥に対する修正を導入します（CVE-2002-2443、

- どの種類の鍵があるかを見つけるためにキータブを調べる際に、以前のエントリを保持するために使用されているメモリを漏洩しません（#911147）