This update for 389-ds to version 1.4.0.26 fixes the following issues :

Security issues fixed :

CVE-2016-5416: Fixed an information disclosure where a anonymous user could read the default ACI (bsc#991201).

CVE-2018-1054: Fixed a denial of service via search filters in SetUnicodeStringFromUTF_8() (bsc#1083689).

CVE-2018-1089: Fixed a buffer overflow via large filter value (bsc#1092187).

CVE-2018-10871: Fixed an information disclosure in certain plugins leading to the disclosure of plaintext password to an privileged attackers (bsc#1099465).

CVE-2018-14638: Fixed a denial of service through a crash in delete_passwdPolicy () (bsc#1108674).

CVE-2018-14648: Fixed a denial of service caused by malformed values in search queries (bsc#1109609).

CVE-2018-10935: Fixed a denial of service related to ldapsearch with server side sort (bsc#1105606).

CVE-2019-3883: Fixed a denial of service caused by hanging LDAP requests over TLS (bsc#1132385).

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to the versions of the 389-ds-base packages installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

  - 389-ds-base version before 1.3.5.19 and 1.3.6.7 are     vulnerable to password brute-force attacks during     account lockout due to different return codes returned     on password attempts.(CVE-2017-7551)

  - In 389-ds-base up to version 1.4.1.2, requests are     handled by workers threads. Each sockets will be waited     by the worker for at most 'ioblocktimeout' seconds.
    However this timeout applies only for un-encrypted     requests. Connections using SSL/TLS are not taking this     timeout into account during reads, and may hang     longer.An unauthenticated attacker could repeatedly     create hanging LDAP requests to hang all the workers,     resulting in a Denial of Service.(CVE-2019-3883)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote CentOS Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the CESA-2019:3401 advisory.

  - 389-ds-base: replication and the Retro Changelog plugin store plaintext password by default     (CVE-2018-10871)

  - 389-ds-base: using dscreate in verbose mode results in information disclosure (CVE-2019-10224)

  - 389-ds-base: Read permission check bypass via the deref plugin (CVE-2019-14824)

  - 389-ds-base: DoS via hanging secured connections (CVE-2019-3883)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

在 389-ds-base 1.4.1.2 之前的版本中，要求是由背景工作執行緒所處理。背景工作已經等待每個通訊端最多 ‘ioblocktimeout’ 秒。不過，此逾時僅適用於未加密的要求。在讀取期間，使用 SSL/TLS 建立的連線未將此逾時納入考量，因此可能懸置更久。未經驗證的攻擊者可能已經重複建立懸置的 LDAP 要求，以懸置所有背景工作，進而導致拒絕服務。針對 Debian 8「Jessie」，此問題已在 1.3.3.5-4+deb8u6 版本中修正。建議您升級 389-ds-base 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，加密連線不接受 ‘ioblocktimeout’ 參數結束封鎖要求。因此，未經驗證的攻擊者可能會重複啟動足夠數目的加密連線來封鎖所有背景工作，進而導致拒絕服務。(CVE-2019-3883)

現已提供適用於 Red Hat Enterprise Linux 7 的 389-ds-base 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。389 Directory Server 是與 LDAP 版本 3 (LDAPv3) 相容的伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令列公用程式。安全性修正：* 389-ds-base：透過懸置安全連線導致 DoS (CVE-2019-3883) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。錯誤修正：* 先前如果您使用 PAM 外掛程式嘗試以不存在的 dn 繫結，伺服器將會損毀。此問題現在已修正。(BZ# 1718184)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  在 389-ds-base 1.4.1.2 之前的版本中，要求是由背景工作執行緒所處理的。背景工作將會等待每個通訊端最多「ioblocktimeout」秒。不過，此逾時僅適用於未加密的要求。使用 SSL/TLS 的連線不會在讀取時將此逾時納入考量，可能會懸置更久。未經驗證的攻擊者可能會重複地建立懸置的 LDAP 要求，以懸置所有背景工作，進而導致拒絕服務。(CVE-2019-3883)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2019: 3401 公告中提及的多個弱點影響。

  - 389-ds-base：複製和 Retro Changelog 外掛程式預設儲存純文字密碼 (CVE-2018-10871)

  - 389-ds-base：在 verbose 模式下使用 dscreate 會導致資訊洩漏 (CVE-2019-10224)

  - 389-ds-base：透過 deref 外掛程式繞過讀取權限檢查 (CVE-2019-14824)

  - 389-ds-base：透過懸置安全連線進行 DoS (CVE-2019-3883)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

在 389-ds-base 1.4.1.2 之前的版本中，由工作者线程处理请求。工作者已经等待每个套接字最多“ioblocktimeout”秒。然而，此超时仅适用于未加密的要求。在读取期间，使用 SSL/TLS 构建的连接未将此超时考虑在内，因此可能挂起更久。未经身份验证的攻击者可能已经重复构建挂起的 LDAP 请求，以挂起所有工作者，进而导致拒绝服务。对于 Debian 8“Jessie”，这一问题已在 1.3.3.5-4+deb8u6 版本中修复。我们建议您升级 389-ds-base 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

据发现，加密连接不接受 'ioblocktimeout' 参数结束阻止请求。因此，未经身份验证的攻击者可能会重复启动足够数目的加密连接来阻止所有工作者，进而导致拒绝服务。(CVE-2019-3883)

389-ds-base 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。389 目录服务器是与 LDAP 版本 3 (LDAPv3) 兼容的服务器。基础程序包中包含轻型目录访问协议 (LDAP) 服务器和用于管理服务器的命令行实用工具。安全修复：* 389-ds-base：通过挂起安全连接造成 DOS (CVE-2019-3883) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：* 先前如果您使用 PAM 插件尝试以不存在的 dn 绑定，服务器将会损毁。此问题已得到修复。(BZ# 1718184)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  在 389-ds-base 1.4.1.2 之前的版本中，由工作者线程处理请求。工作进程将等待每个套接字最多“ioblocktimeout”秒。然而，此超时仅适用于未加密的请求。使用 SSL/TLS 的连接在读取期间未考虑此超时，并且可能挂起更长时间。未经身份验证的攻击者可能反复创建挂起所有工作进程的 LDAP 请求，导致拒绝服务。(CVE-2019-3883)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 3401 公告中提及的多个漏洞的影响。

  - 389-ds-base：复制和 Retro 变更日志插件默认存储明文密码 (CVE-2018-10871)

  - 389-ds-base：在 verbose 模式下使用 dscreate 可导致信息泄露 (CVE-2019-10224)

  - 389-ds-base：通过 deref 插件绕过读取权限检查 (CVE-2019-14824)

  - 389-ds-base：通过挂起固定的连接进行 DoS (CVE-2019-3883)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
128021	SUSE SLED15 / SLES15 Security Update : 389-ds (SUSE-SU-2019:2155-1)	Nessus	SuSE Local Security Checks	2019/8/20	2021/1/13	high
131861	EulerOS 2.0 SP2 : 389-ds-base (EulerOS-SA-2019-2369)	Nessus	Huawei Local Security Checks	2019/12/10	2024/4/4	critical
145664	CentOS 8 : 389-ds:1.4 (CESA-2019:3401)	Nessus	CentOS Local Security Checks	2021/1/29	2023/2/8	high
124658	Debian DLA-1779-1：389-Ds-base 安全性更新	Nessus	Debian Local Security Checks	2019/5/7	2024/5/28	high
127464	Amazon Linux 2 : 389-ds-base (ALAS-2019-1262)	Nessus	Amazon Linux Local Security Checks	2019/8/12	2024/5/7	high
127473	CentOS 7：389-ds-base (CESA-2019:1896)	Nessus	CentOS Local Security Checks	2019/8/12	2020/1/6	high
222955	Linux Distros 未修補弱點：CVE-2019-3883	Nessus	Misc.	2025/3/4	2025/9/15	high
145664	CentOS 8：389-ds：1.4 (CESA-2019: 3401)	Nessus	CentOS Local Security Checks	2021/1/29	2023/2/8	high
124658	Debian DLA-1779-1：389-Ds-base 安全更新	Nessus	Debian Local Security Checks	2019/5/7	2024/5/28	high
127464	Amazon Linux 2 : 389-ds-base (ALAS-2019-1262)	Nessus	Amazon Linux Local Security Checks	2019/8/12	2024/5/7	high
127473	CentOS 7：389-ds-base (CESA-2019:1896)	Nessus	CentOS Local Security Checks	2019/8/12	2020/1/6	high
222955	Linux Distros 未修补的漏洞: CVE-2019-3883	Nessus	Misc.	2025/3/4	2025/9/15	high
145664	CentOS 8：389-ds: 1.4 (CESA-2019: 3401)	Nessus	CentOS Local Security Checks	2021/1/29	2023/2/8	high

検出

プラグインの検索

high

critical

high

high

high

high

high

high

high

high

high

high

high