来自 Red Hat 安全公告 2013:0188：

更新后的 ipa 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Identity Management 是集中化的认证、身份管理和授权解决方案，同时适合传统和云端企业环境。

当初始尝试加入 IPA 域时，IPA 客户端与 IPA 服务器通信的方式存在漏洞。由于加入过程中没有安全的方式向客户端提供 IPA 服务器的证书颁发机构 (CA) 证书，IPA 客户端注册流程容易遭受中间人攻击。该缺陷可允许攻击者使用 IPA 客户端提供的凭据访问 IPA 服务器，如果使用管理员凭据执行加入，这还包括整个域的管理员访问权限。(CVE-2012-5484)

注意：由于 IPA 客户端还没有服务器的 CA 证书，仅在初始客户端加入领域时才会暴露该漏洞。一旦 IPA 客户端加入领域并获得 IPA 服务器的 CA 证书，以后的所有通信都将是安全的。如果客户端使用 OTP（一次性密码）方法加入领域，攻击者只能获得服务器的非特权访问权限（仅供加入领域）。

Red Hat 在此感谢 Petr Menšík 报告此问题。

此更新必须同时安装于 IPA 客户端和 IPA 服务器。
当此更新已应用到客户端但未应用到服务器时，如果没有正确的本地 CA 证书，在无人看管模式下 ipa-client-install 会失败，请注意，必须使用“--force”选项才能以不安全的方式获取证书。在交互模式下，将尝试以安全的方式从 LDAP 获取证书。如果失败，将提示您通过 HTTP 以不安全的方式下载证书。在同样情况下，使用 OTP 时，将不会查询 LDAP，并将提示您通过 HTTP 以不安全的方式下载证书。

建议 ipa 用户升级这些更新后的程序包，其中修正了此问题。安装更新后，LDAP 中的更改将自动由 ipa-ldap-updater 处理，并立即生效。

检测

Oracle Linux 6：ipa (ELSA-2013-0188)

high Nessus 插件 ID 68714

未找到变更日志