Red Hat セキュリティアドバイザリ 2015:2355 から：

1 つのセキュリティの問題と複数のバグを修正し、様々な強化を追加する更新済みの sssd パッケージが、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

システムセキュリティサービスデーモン（SSSD）のサービスが、リモートディレクトリと認証メカニズムへのアクセスを管理するためにデーモンのセットを提供します。

SSSD の特権属性証明書（PAC）レスポンダープラグインが、各認証リクエスト上で少量のメモリを漏洩する可能性があることがわかりました。リモートの攻撃者がこの欠陥を利用し、PAC レスポンダープラグインを使用して認証するよう構成された Kerberized デーモンアプリケーションに繰り返しリクエストを送信することで、システム上で利用可能なすべてのメモリを使い果たす可能性があります。（CVE-2015-5292）

sssd パッケージが Upstream バージョン 1.13.0 にアップグレードされ、以前のバージョンに対する多くのバグ修正と強化が提供されます。（BZ#1205554）

複数の拡張機能の詳細は Red Hat Enterprise Linux 7.2 リリースノートで説明されています。「参照」セクションでリンクが提供されています。

* SSSD スマートカードサポート（BZ#854396）* SSSD におけるキャッシュ認証（BZ#910187）* SSSD は自動的に検出された AD サイトのオーバーライドをサポートします（BZ#1163806）* SSSD はロックされたアカウントへの SSH アクセスを拒否します（BZ#1175760）* SSSD は各クライアント上で UID および GID マッピングを有効化します（BZ#1183747）* キャッシュされたエントリのバックグラウンドリフレッシュ（BZ#1199533）* ワンタイムおよび長期的パスワード向けのマルチステッププロンプト（BZ#1200873）
* initgroups 操作向けのキャッシュ（BZ#1206575）

修正されたバグ：

* IdM サーバー上にある SELinux ユーザーのコンテンツが空の文字列に設定されると、SSSD SELinux 評価ユーティリティはエラーを返しました。
（BZ#1192314）

* ldap_child プロセスが認証情報の初期化に失敗し、複数回エラーとともに終了した場合、i-node の数が不十分なために、ファイルを作成する操作が失敗し始める場合がありました。
（BZ#1198477）

* ハードコードされた TTL タイムアウトを使用する SRV クエリ、および一定時間のみ SRV クエリを有効にするよう要求する環境は、ブロックされました。現在、SSSD は DNS パケットからの TTL 値を解析するようになりました。
（BZ#1199541）

* 以前、initgroups 操作には過剰な時間がかかっていました。
現在、AD バックエンドおよび無効化された ID マッピングを使ったセットアップに対するログインおよび ID 処理は、速くなりました。（BZ#1201840）

* Red Hat Enterprise Linux 7.1 以降を使用する IdM クライアントが Red Hat Enterprise Linux 7.0 以前を使用するサーバーに接続しようとすると、信頼されている AD ドメインを使用する認証が、sssd_be プロセスの予期しない終了を引き起こしました。（BZ#1202170）

* HBAC プロセス中にレプリケーション衝突エントリが出現すると、ユーザーのアクセスが拒否されていました。現在、レプリケーション衝突エントリはスキップされ、ユーザーのアクセスが許可されるようになりました。（BZ#1202245）

* SID の配列が初期化されていない値を含むことはなくなり、SSSD がクラッシュすることはありません。（BZ#1204203）

* SSSD は異なるドメインコントローラーからの GPO をサポートし、異なるドメインコントローラーからの GPO を処理する際にクラッシュすることはありません。
（BZ#1205852）

* SSSD は、名前に括弧などの特殊文字が使用されているグループを含む sudo ルールをリフレッシュできませんでした。（BZ#1208507）

* サーバーがすでに IPA 名を修飾した場合、クライアント側で IPA 名は修飾されず、default_domain_suffix がサーバー側で使用されていても、IdM グループメンバーは決定されます。（BZ#1211830）

* sssd_be プロセスのパフォーマンスを向上させせるために、内部キャッシュクリーンアップタスクがデフォルトで無効化されました。（BZ#1212489）

* 現在、default_domain_suffix は autofs マップに対して考慮されません。（BZ#1216285）

* ユーザーは subdomain_inherit=ignore_group-members を設定して、信頼される側のドメインにグループメンバーをフェッチすることを無効化できます。（BZ#1217350）

* グループ解決が失敗し、次のエラーメッセージが表示されました：「エラー：14（不正なアドレス）」。バイナリ GUID 処理が修正されました。（BZ#1226119）

拡張機能が追加されました：

* マニュアルページの default_domain_suffix に関する説明が改善されました。（BZ#1185536）

* 新しい「%0」テンプレートオプションにより、SSSD IdM クライアント上のユーザーは、AD 上で設定されたホームディレクトリを使用することができます。（BZ#1187103）

sssd の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの強化を追加することが推奨されます。

検出

Oracle Linux 7：sssd（ELSA-2015-2355）

medium Nessus プラグイン ID 87095

変更ログが見つかりません