暗号化された接続は、ブロッキング要求を終了するための「ioblocktimeout」パラメーターを許可しないことがわかりました。その結果、認証されていない攻撃者が十分な数の暗号化された接続を繰り返し開始してすべてのワーカーをブロックし、サービス拒否を引き起こす可能性があります。（CVE-2019-3883）

この389-dsのバージョン1.4.0.26への更新では、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

CVE-2016-5416：匿名のユーザーがデフォルトのACIを読み取る可能性がある情報漏洩を修正しました（bsc#991201）。

CVE-2018-1054：SetUnicodeStringFromUTF_8()にある検索フィルターを介したサービス拒否を修正しました（bsc#1083689）。

CVE-2018-1089：大きなフィルター値によるバッファオーバーフローを修正しました（bsc#1092187）。

CVE-2018-10871：権限のある攻撃者に平文パスワードの漏洩を引き起こす可能性のある特定のプラグインの情報漏洩を修正しました（bsc#1099465）。

CVE-2018-14638：delete_passwdPolicy ()のクラッシュによるサービス拒否を修正しました（bsc#1108674）。

CVE-2018-14648：検索クエリの無効な形式の値によって引き起こされるサービス拒否を修正しました（bsc#1109609）。

CVE-2018-10935：サーバー側のソートでのldapsearchに関連するサービス拒否を修正しました（bsc#1105606）。

CVE-2019-3883：TLSでのLDAPリクエストのハングによって引き起こされるサービス拒否を修正しました（bsc#1132385）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - バージョン 1.4.1.2 までの 389-ds-base では、要求はワーカースレッドによって処理されます。各ソケットは、最大で「ioblocktimeout」秒の間、ワーカーによって待機されます。ただし、このタイムアウトは暗号化されていない要求にのみ適用されます。SSL/TLS を使用する接続は、読み取り中にこのタイムアウトを考慮に入れないため、より長い時間待機する可能性があります。認証されていない攻撃者が、待機している LDAP 要求を繰り返し作成し、すべてのユーザーを待機させ、サービス拒否を引き起こす可能性があります。(CVE-2019-3883)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

在 389-ds-base 1.4.1.2 之前的版本中，要求是由背景工作執行緒所處理。背景工作已經等待每個通訊端最多 ‘ioblocktimeout’ 秒。不過，此逾時僅適用於未加密的要求。在讀取期間，使用 SSL/TLS 建立的連線未將此逾時納入考量，因此可能懸置更久。未經驗證的攻擊者可能已經重複建立懸置的 LDAP 要求，以懸置所有背景工作，進而導致拒絕服務。針對 Debian 8「Jessie」，此問題已在 1.3.3.5-4+deb8u6 版本中修正。建議您升級 389-ds-base 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，加密連線不接受 ‘ioblocktimeout’ 參數結束封鎖要求。因此，未經驗證的攻擊者可能會重複啟動足夠數目的加密連線來封鎖所有背景工作，進而導致拒絕服務。(CVE-2019-3883)

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2019: 3401 公告中提及的多個弱點影響。

  - 389-ds-base：複製和 Retro Changelog 外掛程式預設儲存純文字密碼 (CVE-2018-10871)

  - 389-ds-base：在 verbose 模式下使用 dscreate 會導致資訊洩漏 (CVE-2019-10224)

  - 389-ds-base：透過 deref 外掛程式繞過讀取權限檢查 (CVE-2019-14824)

  - 389-ds-base：透過懸置安全連線進行 DoS (CVE-2019-3883)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

現已提供適用於 Red Hat Enterprise Linux 7 的 389-ds-base 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。389 Directory Server 是與 LDAP 版本 3 (LDAPv3) 相容的伺服器。基本套件中包含輕量型目錄存取通訊協定 (LDAP) 伺服器與用於伺服器管理的命令列公用程式。安全性修正：* 389-ds-base：透過懸置安全連線導致 DoS (CVE-2019-3883) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。錯誤修正：* 先前如果您使用 PAM 外掛程式嘗試以不存在的 dn 繫結，伺服器將會損毀。此問題現在已修正。(BZ# 1718184)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  在 389-ds-base 1.4.1.2 之前的版本中，要求是由背景工作執行緒所處理的。背景工作將會等待每個通訊端最多「ioblocktimeout」秒。不過，此逾時僅適用於未加密的要求。使用 SSL/TLS 的連線不會在讀取時將此逾時納入考量，可能會懸置更久。未經驗證的攻擊者可能會重複地建立懸置的 LDAP 要求，以懸置所有背景工作，進而導致拒絕服務。(CVE-2019-3883)

請注意，Nessus 依賴供應商報告的套件存在。

在 389-ds-base 1.4.1.2 之前的版本中，由工作者线程处理请求。工作者已经等待每个套接字最多“ioblocktimeout”秒。然而，此超时仅适用于未加密的要求。在读取期间，使用 SSL/TLS 构建的连接未将此超时考虑在内，因此可能挂起更久。未经身份验证的攻击者可能已经重复构建挂起的 LDAP 请求，以挂起所有工作者，进而导致拒绝服务。对于 Debian 8“Jessie”，这一问题已在 1.3.3.5-4+deb8u6 版本中修复。我们建议您升级 389-ds-base 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

据发现，加密连接不接受 'ioblocktimeout' 参数结束阻止请求。因此，未经身份验证的攻击者可能会重复启动足够数目的加密连接来阻止所有工作者，进而导致拒绝服务。(CVE-2019-3883)

389-ds-base 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。389 目录服务器是与 LDAP 版本 3 (LDAPv3) 兼容的服务器。基础程序包中包含轻型目录访问协议 (LDAP) 服务器和用于管理服务器的命令行实用工具。安全修复：* 389-ds-base：通过挂起安全连接造成 DOS (CVE-2019-3883) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：* 先前如果您使用 PAM 插件尝试以不存在的 dn 绑定，服务器将会损毁。此问题已得到修复。(BZ# 1718184)

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 3401 公告中提及的多个漏洞的影响。

  - 389-ds-base：复制和 Retro 变更日志插件默认存储明文密码 (CVE-2018-10871)

  - 389-ds-base：在 verbose 模式下使用 dscreate 可导致信息泄露 (CVE-2019-10224)

  - 389-ds-base：通过 deref 插件绕过读取权限检查 (CVE-2019-14824)

  - 389-ds-base：通过挂起固定的连接进行 DoS (CVE-2019-3883)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  在 389-ds-base 1.4.1.2 之前的版本中，由工作者线程处理请求。工作进程将等待每个套接字最多“ioblocktimeout”秒。然而，此超时仅适用于未加密的请求。使用 SSL/TLS 的连接在读取期间未考虑此超时，并且可能挂起更长时间。未经身份验证的攻击者可能反复创建挂起所有工作进程的 LDAP 请求，导致拒绝服务。(CVE-2019-3883)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	Name	Product	Family	Published	Updated	Severity
127464	Amazon Linux 2：389-ds-base（ALAS-2019-1262）	Nessus	Amazon Linux Local Security Checks	8/12/2019	5/7/2024	high
128021	SUSE SLED15 / SLES15セキュリティ更新プログラム：389-ds（SUSE-SU-2019:2155-1）	Nessus	SuSE Local Security Checks	8/20/2019	1/13/2021	high
222955	Linux Distros のパッチ未適用の脆弱性: CVE-2019-3883	Nessus	Misc.	3/4/2025	8/21/2025	high
124658	Debian DLA-1779-1：389-Ds-base 安全性更新	Nessus	Debian Local Security Checks	5/7/2019	5/28/2024	high
127464	Amazon Linux 2 : 389-ds-base (ALAS-2019-1262)	Nessus	Amazon Linux Local Security Checks	8/12/2019	5/7/2024	high
145664	CentOS 8：389-ds：1.4 (CESA-2019: 3401)	Nessus	CentOS Local Security Checks	1/29/2021	2/8/2023	high
127473	CentOS 7：389-ds-base (CESA-2019:1896)	Nessus	CentOS Local Security Checks	8/12/2019	1/6/2020	high
222955	Linux Distros 未修補弱點：CVE-2019-3883	Nessus	Misc.	3/4/2025	8/21/2025	high
124658	Debian DLA-1779-1：389-Ds-base 安全更新	Nessus	Debian Local Security Checks	5/7/2019	5/28/2024	high
127464	Amazon Linux 2 : 389-ds-base (ALAS-2019-1262)	Nessus	Amazon Linux Local Security Checks	8/12/2019	5/7/2024	high
127473	CentOS 7：389-ds-base (CESA-2019:1896)	Nessus	CentOS Local Security Checks	8/12/2019	1/6/2020	high
145664	CentOS 8：389-ds: 1.4 (CESA-2019: 3401)	Nessus	CentOS Local Security Checks	1/29/2021	2/8/2023	high
222955	Linux Distros 未修补的漏洞: CVE-2019-3883	Nessus	Misc.	3/4/2025	8/21/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high

high