リモート Redhat Enterprise Linux 7 ホストに、RHSA-2024:7434 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    389 Directory Server は、LDAP バージョン 3 (LDAPv3) 準拠サーバーです。基本パッケージには、LDAP (Lightweight Directory Access Protocol ) サーバー、サーバー管理用のコマンドラインユーティリティが含まれています。

    セキュリティ修正プログラム:

    * 389-ds-base: 無効な形式の入力を使用して「userPassword」を変更している間に発生するサーバークラッシュ (CVE-2024-2199 に対する不完全な修正) (CVE-2024-8445)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 389-ds-base の CVE-2024-2199 に対する修正は、すべてのシナリオをカバーするには不十分でした。特定の製品バージョンでは、無効な形式の入力を使用して「userPassword」を変更中に、認証されたユーザーがサーバーのクラッシュを引き起こす可能性があります。(CVE-2024-8445)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている 389-ds-base のバージョンは、1.3.10.2-17 より前です。したがって、ALAS2-2025-2798 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    389-ds-base ldap サーバーで、サービス拒否の脆弱性が見つかりました。この問題により、無効な形式の入力を使用して「userPassword」を変更中に、認証されたユーザーがサーバーのクラッシュを引き起こす可能性があります。
    (CVE-2024-2199)

    389-ds-base に欠陥が見つかりました。特別に細工された LDAP クエリにより、ディレクトリサーバーでエラーが発生し、サービス拒否が発生する可能性があります (CVE-2024-3657)

    389-ds-base LDAP サーバーで、サービス拒否の脆弱性が見つかりました。この問題により、パスワードに無効な形式のハッシュがあるユーザーでログインを試行する際に、認証されたユーザーがサーバーのサービス拒否を引き起こす可能性があります。(CVE-2024-5953)

    389-ds-base の CVE-2024-2199 の修正は、すべてのシナリオをカバーするには不十分でした。特定の製品バージョンでは、無効な形式の入力を使用して「userPassword」を変更中に、認証されたユーザーがサーバーのクラッシュを引き起こす可能性があります。(CVE-2024-8445)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4021 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4021-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 1 月 19 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package : 389-ds-base バージョン :1.4.4.11-2+deb11u1 CVE ID : CVE-2021-3652 CVE-2021-4091 CVE-2022-0918 CVE-2022-0996 CVE-2022-2850 CVE-2024-2199 CVE-2024-3657 CVE-2024-5953 CVE-2024-8445

    この更新では、389-ds-base LDAP サーバーの複数の脆弱性が修正されます。

    CVE-2021-3652

        アスタリスクが誤ってまたは悪意を持ってパスワードハッシュとしてインポートされた場合、非有効化されるのではなく、任意のパスワードが認証で一致してしまいます。この欠陥により、攻撃者はパスワードが無効になっているユーザーとしての認証に成功する可能性があります。

    CVE-2021-4091

        389-ds-base が永続検索の仮想属性コンテキストを処理する方法で、二重解放が見つかりました。攻撃者が一連の検索リクエストを送信し、サーバーに予期しない動作をさせ、クラッシュする可能性があります。

    CVE-2022-0918

        脆弱性により、LDAP ポートへのネットワークアクセス権を持つ認証されていない攻撃者がサービス拒否を引き起こす可能性があります。サービス拒否は、TCP 接続で送信された単一のメッセージによってトリガーされます。バインドやその他の認証は必要ありません。メッセージによりセグメンテーション違反が発生し、slapd がクラッシュします。

    CVE-2022-0996

        脆弱性により、期限切れのパスワードがデータベースにアクセスして不適切な認証を引き起こすことが可能です。

    CVE-2022-2850

        コンテンツ同期プラグインが有効な場合、認証されたユーザーは、特別に細工されたクエリを使用して NULL ポインターデリファレンスに到達できます。認証された攻撃者がこの欠陥を使用して、サービス拒否を引き起こす可能性があります。この CVE は、不完全な修正 CVE-2021-3514に対して割り当てられています。

    CVE-2024-2199

        サービス拒否の脆弱性により、無効な形式の入力を使用して「userPassword」を変更中に、認証されたユーザーがサーバーのクラッシュを引き起こす可能性があります。

    CVE-2024-3657

        特別に細工された LDAP クエリにより、ディレクトリサーバーでエラーが発生し、サービス拒否が発生する可能性があります。

    CVE-2024-5953

        この問題により、パスワードに無効な形式のハッシュがあるユーザーでログインを試行する際に、認証されたユーザーがサーバーのサービス拒否を引き起こす可能性があります。

    CVE-2024-8445

        389-ds-base の CVE-2024-2199 の修正は、すべてのシナリオをカバーするには不十分でした。特定の製品バージョンでは、無効な形式の入力を使用して「userPassword」を変更中に、認証されたユーザーがサーバーのクラッシュを引き起こす可能性があります。

    Debian 11 bullseye においては、これらの問題はバージョン 1.4.4.11-2+deb11u1 で修正されました。

    お使いの 389-ds-base パッケージのアップグレードをお勧めします。

    389-ds-base の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/389-ds-base

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
207964	RHEL 7 : 389-ds-base (RHSA-2024:7434)	Nessus	Red Hat Local Security Checks	2024/10/1	2025/1/14	medium
252871	Linux Distros のパッチ未適用の脆弱性: CVE-2024-8445	Nessus	Misc.	2025/8/20	2025/8/20	medium
233374	Amazon Linux 2：389-ds-base（ALAS-2025-2798）	Nessus	Amazon Linux Local Security Checks	2025/3/27	2025/3/27	high
214393	Debian dla-4021 : 389-ds - セキュリティ更新	Nessus	Debian Local Security Checks	2025/1/20	2025/1/20	medium

検出

プラグインの検索

medium

medium

high

medium