GLSA 200612-19: pam_ldap: Authentication bypass vulnerability

http://security.gentoo.org/

Опасность:	низкая
Заголовок:	pam_ldap: Authentication bypass vulnerability
Дата:	20.12.2006
Ошибки:	#153916
ID:	200612-19

Сводка

pam_ldap contains a vulnerability that may allow a remote user with a locked account to gain unauthorized system access.

Назначение

pam_ldap is a Pluggable Authentication Module which allows authentication against LDAP directories.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
sys-auth/pam_ldap	< 183	>= 183	All supported architectures

Описание

Steve Rigler discovered that pam_ldap does not correctly handle "PasswordPolicyResponse" control responses from an LDAP directory. This causes the pam_authenticate() function to always succeed, even if the previous authentication failed.

Воздействие

A locked user may exploit this vulnerability to bypass the LDAP authentication mechanism, possibly gaining unauthorized access to the system.

Обход

There is no known workaround at this time.

Решение

All pam_ldap users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=sys-auth/pam_ldap-183"

Ссылки

CVE-2006-5170

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200612-19.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.