この389-ds用更新プログラムでは、以下の問題を修正します。次のセキュリティ上の脆弱性に対処しました。：

  - CVE-2017-7551：389-ds-base：返しコードが異なるため、ロックされたアカウントでパスワードのブルートフォースが可能（bsc#1051997）

  - CVE-2016-4992：389-ds：LDAP ADD演算の反復使用による情報開示（bsc#997256）

  - CVE-2016-5405：389-ds：タイミング攻撃に脆弱なパスワード認証（bsc#1007004）

  - CVE-2017-2591：389-ds-base：uiduniq.cにおけるヒープバッファオーバーフロー（bsc#1020670）

  - CVE-2017-2668細工されたLDAPメッセージによる389-dsリモートクラッシュ（bsc#1069067）

  - CVE-2016-0741：389-ds：ワーカースレッドは、DoSを引き起こす異常にクローズされた接続を検出しません（bsc#1069074）

リリース 1.3.4.8

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

389 ディレクトリサーバーに無限ループの脆弱性が発見されました。これによりサーバーは、予期せず閉じたクライアント接続を正しく処理できませんでした。サーバーに接続できるリモートの攻撃者がこの欠陥を利用して、ディレクトリサーバーに過剰な量の CPU を消費させ、接続の受入れを停止させる（サービス拒否）可能性があります。（CVE-2016-0741）

この更新は次のバグを修正します :

 - 以前は、simple paged results　検索がバックエンドで失敗し、simple paged results スロットがリリースされませんでした。その結果として、接続オブジェクトに simple paged results スロットが累積される可能性があります。この更新では、検索が失敗した際に、simple paged results スロットは適切にリリースされ、未使用の simple paged results スロットは接続オブジェクト内に残りません。

- 以前は、同じ属性の複数の値が ldapmodify コマンドを使って削除され、値の内の少なくとも 1 つが同じオペレーション中に再度追加されると、等式インデックスが更新されませんでした。結果として、再度追加された属性値の正確な検索はエントリを返しませんでした。エントリの少なくとも 1 つの値が変更された場合に、インデックスを更新するために、インデックスコードのロジックが修正されました。そして、再度追加された属性値の正確な検索が適切なエントリを返すようになりました。

- この更新より前に、cleanAllRUV タスクが実行されている際に、メモリ破損が原因で、偽造 attrlist_replace エラーメッセージが繰り返しログ化されました。この更新により、メモリ破損を修正する適切なメモリコピー関数 memmove が使用されました。結果として、エラーメッセージがこのシナリオでログ化されないようになりました。

- simple paged results のバグを修正するために、接続の排他的ロックが以前追加されていました。これが、結果として、特殊なケースで、セルフデッドロックを発生させていました。この更新で、接続の排他的ロックが再入可能なタイプに変更され、セルフデッドロックは発生しないようになりました。

- 以前は、必要のないロックが接続オブジェクトでときどき取得されていました。これにより、デッドロックを発生させる可能性がありました。パッチが適用され、必要のないロックが削除され、デッドロックは発生しなくなりました。

この更新のインストール後、389 サーバーサービスは自動的に再起動します。

389 ディレクトリサーバーに無限ループの脆弱性が発見されました。これによりサーバーは、予期せず閉じたクライアント接続を正しく処理できませんでした。サーバーに接続できるリモートの攻撃者がこの欠陥を利用して、ディレクトリサーバーに過剰な量の CPU を消費させ、接続の受入れを停止させる（サービス拒否）可能性があります。

1 つのセキュリティの課題といくつかのバグを修正する更新された 389-ds-base パッケージが、現時点で Red Hat Enterprise Linux 7 に対して利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

389 Directory Server は、LDAP バージョン 3（LDAPv3）準拠サーバーです。基本パッケージには、Lightweight Directory Access Protocol（LDAP）サーバー、およびサーバー管理用のコマンドラインユーティリティが含まれています。

389 ディレクトリサーバーに無限ループの脆弱性が発見されました。これによりサーバーは、予期せず閉じたクライアント接続を正しく処理できませんでした。サーバーに接続できるリモートの攻撃者がこの欠陥を利用して、ディレクトリサーバーに過剰な量の CPU を消費させ、接続の受入れを停止させる（サービス拒否）可能性があります。（CVE-2016-0741）

この更新は次のバグを修正します : 

* 以前は、simple paged results　検索がバックエンドで失敗し、simple paged results スロットがリリースされませんでした。その結果として、接続オブジェクトに simple paged results スロットが累積される可能性があります。この更新では、検索が失敗した際に、simple paged results スロットは適切にリリースされ、未使用の simple paged results スロットは接続オブジェクト内に残りません。（BZ#1290725）

* 以前は、同じ属性の複数の値が ldapmodify コマンドを使って削除され、値の内の少なくとも 1 つが同じオペレーション中に再度追加されると、等式インデックスが更新されませんでした。結果として、再度追加された属性値の正確な検索はエントリを返しませんでした。エントリの少なくとも 1 つの値が変更された場合に、インデックスを更新するために、インデックスコードのロジックが修正されました。そして、再度追加された属性値の正確な検索が適切なエントリを返すようになりました。（BZ#1290726）

* この更新より前に、cleanAllRUV タスクが実行されている際に、メモリ破損が原因で、偽造 attrlist_replace エラーメッセージが繰り返しログ化されました。この更新により、メモリ破損を修正する適切なメモリコピー関数 memmove が使用されました。結果として、エラーメッセージがこのシナリオでログ化されないようになりました。（BZ#1295684）

* シンプルなページの結果バグを修正するために、接続の排他的ロックが以前追加されていました。これが、結果として、特殊なケースで、セルフデッドロックを発生させていました。この更新で、接続の排他的ロックが再入可能なタイプに変更され、セルフデッドロックは発生しないようになりました。（BZ#1298105）

* 以前は、必要のないロックが接続オブジェクトでときどき取得されていました。これが結果として、デッドロックを発生させる可能性がありました。パッチが適用され、必要のないロックが削除され、デッドロックは発生しなくなりました。（BZ#1299346）

389-ds-base のユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新のインストール後、389 サーバーサービスは自動的に再起動します。

Red Hat セキュリティアドバイザリ 2016:0204 から：

1 つのセキュリティの課題といくつかのバグを修正する更新された 389-ds-base パッケージが、現時点で Red Hat Enterprise Linux 7 に対して利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

389 Directory Server は、LDAP バージョン 3（LDAPv3）準拠サーバーです。基本パッケージには、Lightweight Directory Access Protocol（LDAP）サーバー、およびサーバー管理用のコマンドラインユーティリティが含まれています。

389 ディレクトリサーバーに無限ループの脆弱性が発見されました。これによりサーバーは、予期せず閉じたクライアント接続を正しく処理できませんでした。サーバーに接続できるリモートの攻撃者がこの欠陥を利用して、ディレクトリサーバーに過剰な量の CPU を消費させ、接続の受入れを停止させる（サービス拒否）可能性があります。（CVE-2016-0741）

この更新は次のバグを修正します : 

* 以前は、simple paged results　検索がバックエンドで失敗し、simple paged results スロットがリリースされませんでした。その結果として、接続オブジェクトに simple paged results スロットが累積される可能性があります。この更新では、検索が失敗した際に、simple paged results スロットは適切にリリースされ、未使用の simple paged results スロットは接続オブジェクト内に残りません。（BZ#1290725）

* 以前は、同じ属性の複数の値が ldapmodify コマンドを使って削除され、値の内の少なくとも 1 つが同じオペレーション中に再度追加されると、等式インデックスが更新されませんでした。結果として、再度追加された属性値の正確な検索はエントリを返しませんでした。エントリの少なくとも 1 つの値が変更された場合に、インデックスを更新するために、インデックスコードのロジックが修正されました。そして、再度追加された属性値の正確な検索が適切なエントリを返すようになりました。（BZ#1290726）

* この更新より前に、cleanAllRUV タスクが実行されている際に、メモリ破損が原因で、偽造 attrlist_replace エラーメッセージが繰り返しログ化されました。この更新により、メモリ破損を修正する適切なメモリコピー関数 memmove が使用されました。結果として、エラーメッセージがこのシナリオでログ化されないようになりました。（BZ#1295684）

* シンプルなページの結果バグを修正するために、接続の排他的ロックが以前追加されていました。これが、結果として、特殊なケースで、セルフデッドロックを発生させていました。この更新で、接続の排他的ロックが再入可能なタイプに変更され、セルフデッドロックは発生しないようになりました。（BZ#1298105）

* 以前は、必要のないロックが接続オブジェクトでときどき取得されていました。これが結果として、デッドロックを発生させる可能性がありました。パッチが適用され、必要のないロックが削除され、デッドロックは発生しなくなりました。（BZ#1299346）

389-ds-base のユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新のインストール後、389 サーバーサービスは自動的に再起動します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
105366	openSUSEセキュリティ更新プログラム：389-ds（openSUSE-2017-1396）	Nessus	SuSE Local Security Checks	2017/12/19	2021/1/19	critical
89795	Fedora 22：389-ds-base-1.3.4.8-1.fc22（2016-0609474cf6）	Nessus	Fedora Local Security Checks	2016/3/10	2021/1/11	high
88795	Scientific Linux セキュリティ更新：389-ds-base on SL7.x x86_64	Nessus	Scientific Linux Local Security Checks	2016/2/17	2021/1/14	high
89797	Fedora 23：389-ds-base-1.3.4.8-1.fc23（2016-40401300ed）	Nessus	Fedora Local Security Checks	2016/3/10	2021/1/11	high
89845	Amazon Linux AMI：389-ds-base（ALAS-2016-664）	Nessus	Amazon Linux Local Security Checks	2016/3/11	2018/4/18	high
88763	CentOS 7：389-ds-base（CESA-2016:0204）	Nessus	CentOS Local Security Checks	2016/2/17	2021/1/4	high
88782	Oracle Linux 7：389-ds-base（ELSA-2016-0204）	Nessus	Oracle Linux Local Security Checks	2016/2/17	2021/1/14	high
88790	RHEL 7：389-ds-base（RHSA-2016:0204）	Nessus	Red Hat Local Security Checks	2016/2/17	2019/10/24	high

検出

プラグインの検索

critical

high

high

high

high

high

high

high