389-ds-baseの脆弱性情報(RHSA-2019:3401 / CVE-2019-14824, CVE-2018-10871, CVE-2019-3883, CVE-2019-10224)

2019.11.11

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

11/08/2019に389-ds-baseの脆弱性情報(RHSA-2019:3401 / CVE-2019-14824, CVE-2018-10871, CVE-2019-3883, CVE-2019-10224)が公開されています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

2019/11/26 05:00 RHSA-2019:3401の情報とCVE-2019-3883、CVE-2019-10224、CVE-2018-10871を追加しました

[過去の関連リンク(最新5件)]

Priority

CVE番号影響するバージョンPriorityCVSS Score / CVSS Vector
CVE-2019-14824389-ds-base < 1.4

Red Hat: Important

NVD: High

Red Hat: CVSS 6.5 MEDIUM / CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

NVD: CVSS 6.5 MEDIUM /CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

CVE-2018-10871389-ds-base < 1.4.0.12, 1.3.8.5

Red Hat: Important

NVD: High

Red Hat: CVSS 3.8 Low / CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N

NVD: CVSS 7.2 HIGH/ CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

CVE-2019-3883389-ds-base < 1.4.1.2

Red Hat: Medium

NVD: High

Red Hat: CVSS 5.3 MEDIUM / CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

NVD: CVSS 7.5 HIGH / CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

–>

CVE-2019-10224389-ds-base < 1.4.1.3

Red Hat: MEDIUM

Red Hat: CVSS 4.3 MEDIUM / CVSS:3.0/AV:P/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N


修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-14824
    • 認証された攻撃者にプライベート属性を見られる可能性
    • 重要度 – Important
    • 389-ds-baseで属性値を表示する’search’権限を使う’deref’プラグインに問題が見つかりました。幾つかの条件下で、認証された攻撃者はパスワードハッシュなどのプライベート属性を見る事ができる可能性が有ります。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-10871
    • パスワードがデフォルトで平文で保存される
    • 重要度 – Important
    • 389-ds-baseでは、ReplicationとRetro Changelogプラグインではデフォルトでパスワードが平分で保存されているという問題があります。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3883
    • DoSの可能性
    • 重要度 – Moderate
    • 389-ds-baseでは、暗号化された接続ではブロッキングリクエストが終了するまで’ioblocktimeout’パラメータを優先しないことがわかりました。この結果、認証されていない攻撃者は全てのワーカに対して暗号化された充分な数の接続を繰り返し行うことにより、DoSを発生させることが可能です。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10224
    • 重要な情報の漏洩の可能性
    • 重要度 – Moderate
    • 389-ds-baseでverboseモードで実行した場合に、dscreateとdsconfコマンドが重要な情報（Directory Managerのパスワードなど）を表示してしまう可能性があります。攻撃者は、スクリーンやターミナルのエラー出力を見ることで重要な情報を得る可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、OSの再起動が発生しますので、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

セキュリティ系連載案内

タイトルとURLをコピーしました