Red Hat セキュリティアドバイザリ 2016:0204 から：

1 つのセキュリティの課題といくつかのバグを修正する更新された 389-ds-base パッケージが、現時点で Red Hat Enterprise Linux 7 に対して利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

389 Directory Server は、LDAP バージョン 3（LDAPv3）準拠サーバーです。基本パッケージには、Lightweight Directory Access Protocol（LDAP）サーバー、およびサーバー管理用のコマンドラインユーティリティが含まれています。

389 ディレクトリサーバーに無限ループの脆弱性が発見されました。これによりサーバーは、予期せず閉じたクライアント接続を正しく処理できませんでした。サーバーに接続できるリモートの攻撃者がこの欠陥を利用して、ディレクトリサーバーに過剰な量の CPU を消費させ、接続の受入れを停止させる（サービス拒否）可能性があります。（CVE-2016-0741）

この更新は次のバグを修正します : 

* 以前は、simple paged results　検索がバックエンドで失敗し、simple paged results スロットがリリースされませんでした。その結果として、接続オブジェクトに simple paged results スロットが累積される可能性があります。この更新では、検索が失敗した際に、simple paged results スロットは適切にリリースされ、未使用の simple paged results スロットは接続オブジェクト内に残りません。（BZ#1290725）

* 以前は、同じ属性の複数の値が ldapmodify コマンドを使って削除され、値の内の少なくとも 1 つが同じオペレーション中に再度追加されると、等式インデックスが更新されませんでした。結果として、再度追加された属性値の正確な検索はエントリを返しませんでした。エントリの少なくとも 1 つの値が変更された場合に、インデックスを更新するために、インデックスコードのロジックが修正されました。そして、再度追加された属性値の正確な検索が適切なエントリを返すようになりました。（BZ#1290726）

* この更新より前に、cleanAllRUV タスクが実行されている際に、メモリ破損が原因で、偽造 attrlist_replace エラーメッセージが繰り返しログ化されました。この更新により、メモリ破損を修正する適切なメモリコピー関数 memmove が使用されました。結果として、エラーメッセージがこのシナリオでログ化されないようになりました。（BZ#1295684）

* シンプルなページの結果バグを修正するために、接続の排他的ロックが以前追加されていました。これが、結果として、特殊なケースで、セルフデッドロックを発生させていました。この更新で、接続の排他的ロックが再入可能なタイプに変更され、セルフデッドロックは発生しないようになりました。（BZ#1298105）

* 以前は、必要のないロックが接続オブジェクトでときどき取得されていました。これが結果として、デッドロックを発生させる可能性がありました。パッチが適用され、必要のないロックが削除され、デッドロックは発生しなくなりました。（BZ#1299346）

389-ds-base のユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新のインストール後、389 サーバーサービスは自動的に再起動します。

検出

Oracle Linux 7：389-ds-base（ELSA-2016-0204）

high Nessus プラグイン ID 88782

変更ログが見つかりません