GLSA 200507-13: pam_ldap and nss_ldap: Plain text authentication leak
Опасность: | средняя |
Заголовок: | pam_ldap and nss_ldap: Plain text authentication leak |
Дата: | 14.07.2005 |
Ошибки: |
|
ID: | 200507-13 |
Сводка
pam_ldap and nss_ldap fail to restart TLS when following a referral, possibly leading to credentials being sent in plain text.Назначение
pam_ldap is a Pluggable Authentication Module which allows authentication against an LDAP directory. nss_ldap is a Name Service Switch module which allows 'passwd', 'group' and 'host' database information to be pulled from LDAP. TLS is Transport Layer Security, a protocol that allows encryption of network communications.
Уязвимые пакеты
Пакет | Уязвимый | Нетронутый | Архитектура(ы) |
---|---|---|---|
sys-auth/nss_ldap | < 239-r1 | >= 239-r1 | All supported architectures |
sys-auth/pam_ldap | < 178-r1 | >= 178-r1 | All supported architectures |
Описание
Rob Holland of the Gentoo Security Audit Team discovered that pam_ldap and nss_ldap fail to use TLS for referred connections if they are referred to a master after connecting to a slave, regardless of the "ssl start_tls" ldap.conf setting.
Воздействие
An attacker could sniff passwords or other sensitive information as the communication is not encrypted.
Обход
pam_ldap and nss_ldap can be set to force the use of SSL instead of TLS.
Решение
All pam_ldap users should upgrade to the latest version:
# emerge --sync # emerge --ask --oneshot --verbose ">=sys-auth/pam_ldap-178-r1"
All nss_ldap users should upgrade to the latest version:
# emerge --sync
# emerge --ask --oneshot --verbose sys-auth/nss_ldap
Ссылки
Наличие
Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security:
Опасения?
Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.
Лицензия
Copyright 2010 Gentoo Foundation, Inc; текст ссылки принадлежит его владельцу(ам). Содержание этого документа распространяется на условиях лицензии Creative Commons - Attribution / Share Alike.