GLSA 200510-22: SELinux PAM: Local password guessing attack

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	SELinux PAM: Local password guessing attack
Дата:	28.10.2005
Ошибки:	#109485
ID:	200510-22

Сводка

A vulnerability in the SELinux version of PAM allows a local attacker to brute-force system passwords.

Назначение

PAM (Pluggable Authentication Modules) is an architecture allowing the separation of the development of privilege granting software from the development of secure and appropriate authentication schemes. SELinux is an operating system based on Linux which includes Mandatory Access Control.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
sys-libs/pam	< 0.78-r3	>= 0.78-r3	All supported architectures

Описание

The SELinux patches for PAM introduce a vulnerability allowing a password to be checked with the unix_chkpwd utility without delay or logging. This vulnerability doesn't affect users who do not run SELinux.

Воздействие

A local attacker could exploit this vulnerability to brute-force passwords and escalate privileges on an SELinux system.

Обход

There is no known workaround at this time.

Решение

All SELinux PAM users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=sys-libs/pam-0.78-r3"

Ссылки

CVE-2005-2977

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200510-22.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.