PAM の pam_userdb モジュールが、ハッシュ化パスワードを比較する際に、大文字小文字を区別しない方法を不適切に使用することが判明しました。ローカルの攻撃者がこの問題を利用して、ブルートフォース攻撃を簡単に実行する可能性があります。この問題の影響を受けるのは、Ubuntu 12.04 LTSとUbuntu 14.04 LTS のみです。(CVE-2013-7041) 

Sebastian Krahmer 氏は、PAM の pam_timestamp モジュールがフィルタリングを不適切に実行することを発見しました。ローカルの攻撃者がこの問題を利用して、任意のファイルを作成したり、認証をバイパスしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 12.04LTSとUbuntu 14.04LTSのみです。
(CVE-2014-2583)

Sebastien Macke 氏は、PAM の pam_unix モジュールが大きいパスワードを不適切に処理することを発見しました。ローカルの攻撃者が特定の環境でこの問題を利用して、ユーザー名を列挙したり、サービス拒否を引き起したりする可能性があります。(CVE-2015-3238)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux-PAM (別名 pam) 1.1.8の pam_timestamp モジュールの中の pam_timestamp.c の複数のディレクトリトラバーサルの脆弱性のために、format_timestamp_name 関数により使用される (1) get_ruser 関数への PAM_RUSER 値、または check_tty 関数への (2) PAM_TTY 値の中の「..」 (2 つのドット) を介して、ローカルユーザーが任意のファイルを作成したり、
おそらくは認証をバイパスする可能性があります。

Pam 用の pam_userdb モジュールは、大文字小文字の区別があるメソッドを使用して、ハッシュされたパスワードを比較するために、攻撃者はブルートフォース攻撃を介して、パスワードを推測することが容易になります。

USN-2935-1は、PAMの脆弱性を修正しました。更新には、一部の multiarch 環境でのアップグレードを防ぐ、パッケージの変更が含まれていました。この更新プログラムにより問題が修正されます。

ご不便をお掛けして申し訳ございません。

PAM の pam_userdb モジュールが、ハッシュ化パスワードを比較する際に、大文字小文字を区別しない方法を不適切に使用することが判明しました。ローカルの攻撃者がこの問題を利用して、ブルートフォース攻撃を簡単に実行する可能性があります。この問題の影響を受けるのは、Ubuntu 12.04 LTSとUbuntu 14.04 LTS のみです。(CVE-2013-7041) 

Sebastian Krahmer 氏は、PAM の pam_timestamp モジュールがフィルタリングを不適切に実行することを発見しました。ローカルの攻撃者がこの問題を利用して、任意のファイルを作成したり、認証をバイパスしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 12.04 LTSとUbuntu 14.04 LTS のみです。(CVE-2014-2583) 

Sebastien Macke 氏は、PAM の pam_unix モジュールが大きいパスワードを不適切に処理することを発見しました。ローカルの攻撃者が特定の環境でこの問題を利用して、ユーザー名を列挙したり、サービス拒否を引き起したりする可能性があります。(CVE-2015-3238)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新により、pam_pwhistory の破損したデフォルトの動作が変更され、root ユーザーがパスワードの変更をリクエストしたときにチェックが強制されません。root ユーザーに対して pwhistory チェックを強制するには、「enforce_for_root」パラメーターが pam_pwhistory.so モジュールに対して設定される必要があります。

この pam の更新により、以下のセキュリティの問題およびセキュリティ以外の問題が、修正されます。

- pam_timestamp パスインジェクション問題が修正されています。
 （CVE-2014-2583）。（bnc#870433）

- 非 root ユーザーのパスワードのリセット時の pam_pwhistory root パスワードの強制が、修正されています。（bnc#848417）

マイナーなセキュリティ問題とバグの修正を更新します。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201605-05 で説明されている脆弱性の影響を受けます（Linux-PAM：複数の脆弱性）

Linux-PAM に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者は、サービス拒否を引き起こし、ブルートフォース攻撃を実施し、ユーザー名列挙を実行する可能性があります。
 回避策：

現時点で、既知の回避策はありません。

USN-2935-1 で PAM での脆弱性が修正されました。更新には、一部の multiarch 環境でのアップグレードを防ぐ、パッケージの変更が含まれていました。この問題の修正を目的とした USN-2935-2 は、Ubuntu 12.04 LTS に対して不完全でした。この更新では、Ubuntu 12.04 LTS の問題が修正されます。

ご面倒をお掛けして申し訳ございません。

PAM の pam_userdb モジュールが、ハッシュ化パスワードを比較する際に、大文字小文字を区別しない方法を不適切に使用することが判明しました。ローカルの攻撃者がこの問題を利用して、ブルートフォース攻撃を簡単に実行する可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS と Ubuntu 14.04 LTS のみです。（CVE-2013-7041）

Sebastian Krahmer 氏は、PAM の pam_timestamp モジュールがフィルタリングを不適切に実行することを発見しました。ローカルの攻撃者がこの問題を利用して、任意のファイルを作成したり、認証をバイパスしたりする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS と Ubuntu 14.04 LTS のみです。（CVE-2014-2583）

Sebastien Macke 氏は、PAM の pam_unix モジュールが大きいパスワードを不適切に処理することを発見しました。ローカルの攻撃者が特定の環境でこの問題を利用して、ユーザー名を列挙したり、サービス拒否を引き起したりする可能性があります。（CVE-2015-3238）。

注意：Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
89996	Ubuntu 14.04 LTS : PAM の脆弱性 (USN-2935-1)	Nessus	Ubuntu Local Security Checks	2016/3/17	2023/10/20	medium
78297	Amazon Linux AMI：pam (ALAS-2014-354)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	medium
89997	Ubuntu 14.04 LTS : PAM のリグレッション (USN-2935-2)	Nessus	Ubuntu Local Security Checks	2016/3/17	2023/10/20	medium
73979	SuSE 11.3 セキュリティの更新：pam（SAT パッチ番号 9119）	Nessus	SuSE Local Security Checks	2014/5/13	2021/1/19	medium
80090	Fedora 20：pam-1.1.8-2.fc20（2014-16350）	Nessus	Fedora Local Security Checks	2014/12/18	2021/1/11	medium
91378	GLSA-201605-05：Linux-PAM：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/5/31	2021/1/11	medium
90021	Ubuntu 12.04 LTS：pam の回帰（USN-2935-3）	Nessus	Ubuntu Local Security Checks	2016/3/18	2023/1/12	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium