PHPLDAPAdmin非授权访问存在严重漏洞

来源:岁月联盟 编辑:zhuzhu 时间:2005-09-01
PHPLDAPAdmin非授权访问存在严重漏洞 受影响系统:
phpLDAPadmin phpLDAPadmin 0.9.5
描述:
--------------------------------------------------------------------------------
BUGTRAQ  ID: 14694
CVE(CAN) ID: CAN-2005-2654

phpLDAPadmin是基于web的LDAP客户端,允许方便的管理LDAP服务器。

phpldapadmin中存在非授权访问漏洞,安全者可以利用这个漏洞匿名访问LDAP服务器,即使配置中已有disable_anon_bind禁止匿名访问。

起因是在允许访问LDAP管理函数之前没有正确的验证用户凭据。

<*来源:Alexander Gerasiov
 
  链接:http://www.debian.org/security/2005/dsa-790
*>

建议:
--------------------------------------------------------------------------------
厂商补丁:

Debian
------
Debian已经为此发布了一个安全公告(DSA-790-1)以及相应补丁:
DSA-790-1:New phpldapadmin packages fix unauthorised access
链接:http://www.debian.org/security/2005/dsa-790

补丁下载:

Source archives:

http://security.debian.org/pool/updates/main/p/phpldapadmin/phpldapadmin_0.9.5-3sarge2.dsc
Size/MD5 checksum:      619 d6da0a97614965ba396e3ca4079ddabb
http://security.debian.org/pool/updates/main/p/phpldapadmin/phpldapadmin_0.9.5-3sarge2.diff.gz
Size/MD5 checksum:    11564 543a7a99fb997976bbdaa51056e85d4f
http://security.debian.org/pool/updates/main/p/phpldapadmin/phpldapadmin_0.9.5.orig.tar.gz
Size/MD5 checksum:   617707 fb0669d4c4b88573875555aef2630de8

Architecture independent components:

http://security.debian.org/pool/updates/main/p/phpldapadmin/phpldapadmin_0.9.5-3sarge2_all.deb
Size/MD5 checksum:   616852 2ea5bc2d2f2eb0736f75cc8b48618842

补丁安装方法:

1. 手工安装补丁包:

  首先,使用下面的命令来下载补丁软件:
  # wget url  (url是补丁下载链接地址)

  然后,使用下面的命令来安装补丁: 
  # dpkg -i file.deb (file是相应的补丁名)

2. 使用apt-get自动安装补丁包:

   首先,使用下面的命令更新内部数据库:
   # apt-get update
  
   然后,使用下面的命令安装更新软件包:
   # apt-get upgrade