OpenLDAP が OpenSSL スタイルの暗号化文字列をパースする方法で欠陥が見つかりました。その結果、OpenLDAP が意図せず有効化された暗号化を使用する恐れがあります。(CVE-2015-3276)

Openldap パッケージは Upstream バージョン 2.4.40 にアップグレードされ、以前のバージョンから多くのバグ修正と機能強化が行われています。

- ORDERING 一致ルールが ppolicy 属性タイプの説明に追加されました。* 今後、SRV レコードの処理時にサーバーが予期せず終了することはなくなります。* 欠如していた objectClass 情報が追加され、ユーザーが標準的な方法でフロントエンドの構成を変更することが可能になりました。

この更新は以下のバグも修正します：

- 以前、OpenLDAP は多数の同時更新を適切に処理していませんでした。その結果、サーバーに多数の更新リクエストを同時に送信することになり、デッドロックを引き起こす可能性がありました。この更新では、デッドロックの原因である余分なロッキングメカニズムが削除され、バグが修正されています。

- libldap ライブラリのアンロード時に、httpd サービスがセグメンテーション違反で予期せず終了することがありました。下層にあるソースコードが修正され、バグを発生させていた悪性のメモリアクセスエラーを防止するようになりました。その結果、httpd はこの状況でクラッシュしなくなります。

- システムを Scientific Linux 6 から Scientific Linux 7 へアップグレードした後、特定のライブラリに対するシンボリックリンクが予期せず openldap-devel パッケージに属するロケーションを指すようになりました。ユーザーが openldap-devel をアンインストールすると、シンボリックリンクが破壊され、「rpm -V openldap」コマンドがエラーを起こすことがありました。
 この更新で、今後シンボリックリンクは上述の状況で破壊されなくなります。ユーザーが openldap をバージョン 2.4.39-6 かそれ以前にダウングレードすると、シンボリックリンクが破壊される可能性があります。そのようなダウングレードの後は、シンボリックリンクが破壊されていないことを確かめることを推奨します。このためには、yum プラグイン検証パッケージがインストールされていることを確認し、「rpm -V openldap」または「yum verify openldap」コマンドを実行してターゲットライブラリを取得してください。

また、この更新は以下の拡張機能も追加します：

- OpenLDAP クライアントは、サーバーとの通信に自動的に Network Security Services（NSS）のデフォルト暗号化パッケージを選ぶようになりました。今後、OpenLDAP ソースコードに手動でデフォルト暗号化パッケージを保持する必要はなくなります。

検出

Scientific Linux セキュリティ更新：SL7.x x86_64 の openldap

medium Nessus プラグイン ID 87566

変更ログが見つかりません