DSA-3209-1 openldap -- обновление безопасности

Средняя (5.0)

(AV:N/AC:L/Au:N/C:N/I:N/A:P)

Debian

ldap-utils (any) libldap-2.4-2 (any) libldap-2.4-2-dbg (any) libldap2-dev (any) slapd (any) slapd-dbg (any) slapd-smbk5pwd (any)

В OpenLDAP, свободной реализации протокола Lightweight Directory
Access Protocol, были обнаружен многочисленные уязвимости.

CVE-2013-4449
Михаэль Вишерс из Seven Principles AG обнаружил отказ в обслуживании
    в slapd, реализации сервера директорий.
    Если сервер настроен на использование оверлея RWM, злоумышленник
    может аварийно завершить его работу путём отвязывания после подключения, это возможно из-за
    проблемы с подсчётом ссылок.
CVE-2014-9713
Настройки базы данных директорий по умолчанию в Debian позволяет
    каждому пользователю редактировать свои собственные атрибуты. Когда для управления доступом
    используются директории LDAP, и управление доступом выполняется с помощью пользовательских атрибутов,
    аутентифицированный пользователь может использовать эту уязвимость для получения доступа к закрытым для него
    ресурсам.
    
Обратите внимание, что эта уязвимость касается конкретно Debian.
Новый пакет не будет использовать небезопасное правило управления доступом для новых
    баз данных, но существующие настройки не будут изменены
    автоматически. Администраторам следует обратиться к файлу README.Debian,
    поставляемому в обновлённом пакете, если им нужно исправить правило управления
    доступом.
CVE-2015-1545
Райан Тэнди обнаружил отказ в обслуживании в slapd.
     При использовании оверлея deref, передача пустого списка атрибутов в
     запросе приводит к аварийному завершению работы службы.

В стабильном выпуске (wheezy) эти проблемы были исправлены в
версии 2.4.31-2.
В готовящемся стабильном выпуске (jessie) эти проблемы были
исправлены в версии 2.4.40-4.
В нестабильном выпуске (sid) эти проблемы были исправлены в
версии 2.4.40-4.
Рекомендуется обновить пакеты openldap.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 7:
noarch:
openldap - 2.4.31-2

http://www.debian.org/security/dsa-3209/

Источник: CVE
Наименование: CVE-2013-4449
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4449

Источник: CVE
Наименование: CVE-2015-1545
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1545

Источник: CVE
Наименование: CVE-2014-9713
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9713