Fedora SSSD中的BE数据库空口令绕过认证安全漏洞

来源:岁月联盟 编辑:zhuzhu 时间:2009-08-07
Fedora SSSD中的BE数据库空口令绕过认证安全漏洞 受影响系统:
Fedora SSSD 0.4.1

不受影响系统:
Fedora SSSD 0.4.1-3

描述:
SSSD(System Security Services Daemon)用于在Fedora系统中提供一些安全服务。 

sssd的server/responder/pam/pam_LOCAL_domain.c文件中的local_handler_callback函数没有正确地处理SSSD BE数据库中的空口令账号。如果将用户添加到SSSD BE数据库但没有设置口令,用户就可以通过ssh连接到SSSD配置的客户端然后输入任意口令登录。

厂商补丁:

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
https://bugzilla.redhat.com/attachment.cgi?id=355424