1 つのセキュリティの問題と複数のバグを修正し、1 つの強化機能を追加する更新済み openldap パッケージがRed Hat Enterprise Linux 7 で利用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

OpenLDAP は、Lightweight Directory Access Protocol（LDAP）アプリケーションおよび開発ツールのオープンソースパッケージです。LDAP は、IP ネットワーク上に分散したディレクトリ情報サービスにアクセスし、サービスをメンテナンスするために使用する、一連のプロトコルです。openldap パッケージには、 OpenLDAP 用の構成ファイル、ライブラリ、およびドキュメンテーションが含まれます。

OpenLDAP が OpenSSL スタイルの暗号化文字列をパースする方法で欠陥が見つかりました。その結果、OpenLDAP が意図せず有効化された暗号化を使用する恐れがあります。(CVE-2015-3276)

この問題は、Red Hat ソフトウェアメンテナンスエンジニアリンググループの Martin Poole が見つけました。

Openldap パッケージは Upstream バージョン 2.4.40 にアップグレードされ、以前のバージョンから多くのバグ修正と機能強化が行われています。

* ORDERING 一致ルールが ppolicy 属性タイプの説明に追加されました。* 今後、SRV レコードの処理時にサーバーが予期せず終了することはなくなります。* 欠如していた objectClass 情報が追加され、ユーザーが標準的な方法でフロントエンドの構成を変更することが可能になりました。

（BZ#1147982）

この更新は以下のバグも修正します：

* 以前、OpenLDAP は多数の同時更新を適切に処理していませんでした。その結果、サーバーに多数の更新リクエストを同時に送信することになり、デッドロックを引き起こす可能性がありました。この更新では、デッドロックの原因である余分なロッキングメカニズムが削除され、バグが修正されています。（BZ#1125152）

* libldap ライブラリのアンロード時に、httpd サービスがセグメンテーション違反で予期せず終了することがありました。下層にあるソースコードが修正され、バグを発生させていた悪性のメモリアクセスエラーを防止するようになりました。その結果、httpd はこの状況でクラッシュしなくなります。（BZ#1158005）

* システムを Red Hat Enterprise Linux 6 から Red Hat Enterprise Linux 7 へアップグレードした後、特定のライブラリに対するシンボリックリンクが予期せず openldap-devel パッケージに属するロケーションを指すようになりました。ユーザーが openldap-devel をアンインストールすると、シンボリックリンクが破壊され、「rpm -V openldap」コマンドがエラーを起こすことがありました。この更新で、今後シンボリックリンクは上述の状況で破壊されなくなります。ユーザーが openldap をバージョン 2.4.39-6 かそれ以前にダウングレードすると、シンボリックリンクが破壊される可能性があります。そのようなダウングレードの後は、シンボリックリンクが破壊されていないことを確かめることを推奨します。このためには、yum プラグイン検証パッケージがインストールされていることを確認し、「rpm -V openldap」または「yum verify openldap」コマンドを実行してターゲットライブラリを取得してください。（BZ#1230263）

また、この更新は以下の拡張機能も追加します：

* OpenLDAP クライアントは、サーバーとの通信に自動的にネットワークセキュリティサービス（NSS）のデフォルト暗号化パッケージを選ぶようになります。今後、OpenLDAP ソースコードに手動でデフォルト暗号化パッケージを保持する必要はなくなります。（BZ#1245279）

openldap のユーザーすべてに、これらの問題を修正し強化機能を追加する更新済みパッケージにアップグレードすることを推奨します。

Red Hat セキュリティアドバイザリ 2015:2131 から：

1 つのセキュリティの問題と複数のバグを修正し、1 つの強化機能を追加する更新済み openldap パッケージがRed Hat Enterprise Linux 7 で利用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

OpenLDAP は、Lightweight Directory Access Protocol（LDAP）アプリケーションおよび開発ツールのオープンソースパッケージです。LDAP は、IP ネットワーク上に分散したディレクトリ情報サービスにアクセスし、サービスをメンテナンスするために使用する、一連のプロトコルです。openldap パッケージには、 OpenLDAP 用の構成ファイル、ライブラリ、およびドキュメンテーションが含まれます。

OpenLDAP が OpenSSL スタイルの暗号化文字列をパースする方法で欠陥が見つかりました。その結果、OpenLDAP が意図せず有効化された暗号化を使用する恐れがあります。(CVE-2015-3276)

この問題は、Red Hat ソフトウェアメンテナンスエンジニアリンググループの Martin Poole が見つけました。

Openldap パッケージは Upstream バージョン 2.4.40 にアップグレードされ、以前のバージョンから多くのバグ修正と機能強化が行われています。

* ORDERING 一致ルールが ppolicy 属性タイプの説明に追加されました。* 今後、SRV レコードの処理時にサーバーが予期せず終了することはなくなります。* 欠如していた objectClass 情報が追加され、ユーザーが標準的な方法でフロントエンドの構成を変更することが可能になりました。

（BZ#1147982）

この更新は以下のバグも修正します：

* 以前、OpenLDAP は多数の同時更新を適切に処理していませんでした。その結果、サーバーに多数の更新リクエストを同時に送信することになり、デッドロックを引き起こす可能性がありました。この更新では、デッドロックの原因である余分なロッキングメカニズムが削除され、バグが修正されています。（BZ#1125152）

* libldap ライブラリのアンロード時に、httpd サービスがセグメンテーション違反で予期せず終了することがありました。下層にあるソースコードが修正され、バグを発生させていた悪性のメモリアクセスエラーを防止するようになりました。その結果、httpd はこの状況でクラッシュしなくなります。（BZ#1158005）

* システムを Red Hat Enterprise Linux 6 から Red Hat Enterprise Linux 7 へアップグレードした後、特定のライブラリに対するシンボリックリンクが予期せず openldap-devel パッケージに属するロケーションを指すようになりました。ユーザーが openldap-devel をアンインストールすると、シンボリックリンクが破壊され、「rpm -V openldap」コマンドがエラーを起こすことがありました。この更新で、今後シンボリックリンクは上述の状況で破壊されなくなります。ユーザーが openldap をバージョン 2.4.39-6 かそれ以前にダウングレードすると、シンボリックリンクが破壊される可能性があります。そのようなダウングレードの後は、シンボリックリンクが破壊されていないことを確かめることを推奨します。このためには、yum プラグイン検証パッケージがインストールされていることを確認し、「rpm -V openldap」または「yum verify openldap」コマンドを実行してターゲットライブラリを取得してください。（BZ#1230263）

また、この更新は以下の拡張機能も追加します：

* OpenLDAP クライアントは、サーバーとの通信に自動的にネットワークセキュリティサービス（NSS）のデフォルト暗号化パッケージを選ぶようになります。今後、OpenLDAP ソースコードに手動でデフォルト暗号化パッケージを保持する必要はなくなります。（BZ#1245279）

openldap のユーザーすべてに、これらの問題を修正し強化機能を追加する更新済みパッケージにアップグレードすることを推奨します。

OpenLDAPがOpenSSLスタイルの暗号化文字列を解析する方法に欠陥が見つかりました。その結果、OpenLDAPが意図せず有効化された暗号化を使用する可能性があります。

OpenLDAP が OpenSSL スタイルの暗号化文字列をパースする方法で欠陥が見つかりました。その結果、OpenLDAP が意図せず有効化された暗号化を使用する恐れがあります。(CVE-2015-3276)

Openldap パッケージは Upstream バージョン 2.4.40 にアップグレードされ、以前のバージョンから多くのバグ修正と機能強化が行われています。

- ORDERING 一致ルールが ppolicy 属性タイプの説明に追加されました。* 今後、SRV レコードの処理時にサーバーが予期せず終了することはなくなります。* 欠如していた objectClass 情報が追加され、ユーザーが標準的な方法でフロントエンドの構成を変更することが可能になりました。

この更新は以下のバグも修正します：

- 以前、OpenLDAP は多数の同時更新を適切に処理していませんでした。その結果、サーバーに多数の更新リクエストを同時に送信することになり、デッドロックを引き起こす可能性がありました。この更新では、デッドロックの原因である余分なロッキングメカニズムが削除され、バグが修正されています。

- libldap ライブラリのアンロード時に、httpd サービスがセグメンテーション違反で予期せず終了することがありました。下層にあるソースコードが修正され、バグを発生させていた悪性のメモリアクセスエラーを防止するようになりました。その結果、httpd はこの状況でクラッシュしなくなります。

- システムを Scientific Linux 6 から Scientific Linux 7 へアップグレードした後、特定のライブラリに対するシンボリックリンクが予期せず openldap-devel パッケージに属するロケーションを指すようになりました。ユーザーが openldap-devel をアンインストールすると、シンボリックリンクが破壊され、「rpm -V openldap」コマンドがエラーを起こすことがありました。
 この更新で、今後シンボリックリンクは上述の状況で破壊されなくなります。ユーザーが openldap をバージョン 2.4.39-6 かそれ以前にダウングレードすると、シンボリックリンクが破壊される可能性があります。そのようなダウングレードの後は、シンボリックリンクが破壊されていないことを確かめることを推奨します。このためには、yum プラグイン検証パッケージがインストールされていることを確認し、「rpm -V openldap」または「yum verify openldap」コマンドを実行してターゲットライブラリを取得してください。

また、この更新は以下の拡張機能も追加します：

- OpenLDAP クライアントは、サーバーとの通信に自動的に Network Security Services（NSS）のデフォルト暗号化パッケージを選ぶようになりました。今後、OpenLDAP ソースコードに手動でデフォルト暗号化パッケージを保持する必要はなくなります。

この更新により、OpenLDAPが最新のNSSに対応できるようにします。

  - olcTLSProtocolMin処理を修正します

  - TLS_CIPHER_SUITE解析を修正します

  - 最新のNSS開発に適合するように、暗号リストを更新します

  -「DEFAULTS」TLS_CIPHER_SUITEキーワードのNSSグローバル設定を利用します 

さらに、ネットワークがオンラインになった後に、slapdが正しく起動するようになりました。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
87132	CentOS 7：openldap（CESA-2015:2131）	Nessus	CentOS Local Security Checks	2015/12/2	2021/1/4	high
86970	RHEL 7：openldap（RHSA-2015:2131）	Nessus	Red Hat Local Security Checks	2015/11/20	2020/1/10	high
87023	Oracle Linux 7：openldap（ELSA-2015-2131）	Nessus	Oracle Linux Local Security Checks	2015/11/24	2021/1/14	high
97149	Amazon Linux AMI：openldap (ALAS-2017-799 )	Nessus	Amazon Linux Local Security Checks	2017/2/15	2018/4/18	medium
87566	Scientific Linux セキュリティ更新：SL7.x x86_64 の openldap	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	medium
96968	Fedora 25：openldap（2017-ceb1b8659e）	Nessus	Fedora Local Security Checks	2017/2/3	2021/1/6	medium

検出

プラグインの検索

high

high

high

medium

medium

medium