authconfigの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。authconfigパッケージには、特定のネットワークユーザー情報、認証方式、その他のユーザー情報と認証関連オプションのクライアントとしてワークステーションを構成できる、コマンドラインユーティリティとGUIアプリケーションが含まれています。セキュリティ修正プログラム：* authconfigが既存のログインと存在しないログインを別々に扱い、ユーザーの存在に関する情報を漏らすようにsssdを構成する可能性があるという欠陥が見つかりました。マシンへの物理的またはネットワークアクセスを持つ攻撃者が、タイミング攻撃によってユーザーを列挙する可能性があります。（CVE-2017-7488）この問題は、Tomas Mraz氏（Red Hat）とThorsten Scherf氏（Red Hat）によって発見されました。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.4リリースノートを参照してください。

SSSDを介したリモートサービスへの認証が有効な場合に発生するPAM構成の中程度の（情報漏洩）問題を修正する新しいリリース。

不適切な構成を修正するには、以下を実行します。authconfig --updateall

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ修正プログラム:

  - authconfigが既存のログインと存在しないログインを別々に扱い、ユーザーの存在に関する情報を漏らすようにsssdを構成する可能性があるという欠陥が見つかりました。
    マシンへの物理的またはネットワークアクセスを持つ攻撃者が、タイミング攻撃によってユーザーを列挙する可能性があります。
    （CVE-2017-7488）

リモートのMiracleLinux 7ホストには、AXSA:2017-1892:01アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Authconfig は、シャドウより安全なパスワードを使用するようにワークステーションを構成できるコマンドラインユーティリティです。Authconfig は、特定のネットワーク化されたユーザー情報および認証スキームのクライアントになるようにシステムを構成することもできます。
    CVE-2017-7488 Authconfig バージョン 6.2.8 は、リモートサーバーに対する認証に SSSD を使用する際に情報漏洩に脆弱で、既存のユーザー名に関する情報の漏洩を引き起こします。
    Authconfigバージョン 6.2.8 は、リモートサーバーに対する認証にSSSDを使用する際に情報漏えいに脆弱で、既存のユーザー名に関する情報の漏えいを引き起こします。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

SSSDがリモートサーバーの認証に使用されるときに情報の漏洩が発生：

authconfigが既存のログインと存在しないログインを別々に扱い、ユーザーの存在に関する情報を漏らすようにsssdを構成する可能性があるという欠陥が見つかりました。マシンへの物理的またはネットワークアクセスを持つ攻撃者が、タイミング攻撃によってユーザーを列挙する可能性があります。（CVE-2017-7488）

出典: Red Hatセキュリティアドバイザリ2017:2285:authconfigの更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。authconfigパッケージには、特定のネットワークユーザー情報、認証方式、その他のユーザー情報と認証関連オプションのクライアントとしてワークステーションを構成できる、コマンドラインユーティリティとGUIアプリケーションが含まれています。セキュリティ修正プログラム：* authconfigが既存のログインと存在しないログインを別々に扱い、ユーザーの存在に関する情報を漏らすようにsssdを構成する可能性があるという欠陥が見つかりました。マシンへの物理的またはネットワークアクセスを持つ攻撃者が、タイミング攻撃によってユーザーを列挙する可能性があります。（CVE-2017-7488）この問題は、Tomas Mraz氏（Red Hat）とThorsten Scherf氏（Red Hat）によって発見されました。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 7.4リリースノートを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
102154	RHEL 7：authconfig（RHSA-2017:2285）	Nessus	Red Hat Local Security Checks	2017/8/3	2025/12/4	medium
101586	Fedora 26：authconfig（2017-1fe6f25af9）	Nessus	Fedora Local Security Checks	2017/7/17	2025/12/10	medium
102637	Scientific Linux セキュリティ更新: SL7.x x86_64のauthconfig（20170801）	Nessus	Scientific Linux Local Security Checks	2017/8/22	2025/11/26	medium
289928	MiracleLinux 7authconfig-6.2.8-30.el7AXSA:2017-1892:01	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	medium
102863	Amazon Linux AMI：authconfig（ALAS-2017-875）	Nessus	Amazon Linux Local Security Checks	2017/9/1	2025/11/25	medium
102302	Oracle Linux 7：authconfig（ELSA-2017-2285）	Nessus	Oracle Linux Local Security Checks	2017/8/9	2024/10/23	medium
102758	CentOS 7：authconfig（CESA-2017:2285）	Nessus	CentOS Local Security Checks	2017/8/25	2021/1/4	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium