389 Directory Server が変更ログに情報を保存する方法で情報漏えいの欠陥が見つかっていて、これにより「cn=changelog」LDAP サブツリーで情報が漏えいします。認証されていないユーザーが、特定の状況でこの欠陥を利用して、変更ログから平文パスワードなどの機密情報を含むデータを読み取る可能性があります。
(CVE-2014-8105)

389 Directory Server の nsslapd-unhashed-pw-switch 構成オプションが「off」に設定されているとき、ハッシュ処理されていないパスワードを変更ログに書き込むことが防止されないことが判明しました。これにより、認証されている変更ログにアクセスできるユーザーが、機密情報を読み取る可能性があります。(CVE-2014-8112)

検出

Amazon Linux AMI：389-ds-base (ALAS-2015-501)

medium Nessus プラグイン ID 82508

変更ログが見つかりません