来自 Red Hat 安全公告 2013:1537：

更新后的 augeas 程序包修复了两个安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Augeas 是用于编辑配置的实用工具。Augeas 可解析本机格式的配置文件，并将它们转换为树状结构。操控此树状结构并将其存回本机配置文件，即可更改配置。Augeas 还将“lenses”用作基础构建块，以建立从文件到 Augeas 树状结构和区块的映射。

当更新配置文件时，在 Augeas 处理这些文件的方式中发现多种缺陷。使用 Augeas 更新目录中可被不同用户写入的配置文件的应用程序（例如，以根身份运行、用于更新非根服务用户拥有的目录中文件的应用程序），可能受到诱骗通过符号链接或挂载点攻击覆盖任意文件或泄漏信息。（CVE-2012-0786、CVE-2012-0787）

augeas 程序包已升级到上游版本 1.0.0，其提供了对之前版本的多项缺陷补丁和增强。(BZ#817753)

此更新还修复以下缺陷：

* 以前，在 XML 属性中使用单引号时，Augeas 无法解析包含 XML lens 的文件。已提供上游修补程序，确保单引号处理成有效的字符，解析不再失败。(BZ#799885)

* 在此更新之前，Augeas 无法在 vsftpd.conf 文件中设置“require_ssl_reuse”选项。更新后的修补程序修复了 vsftpd lens，可正确识别此选项，从而修复了此缺陷。(BZ#855022)

* 以前，XML lens 不支持非 Unix 行结束符。
结果，Augeas 无法加载包含这些行结束符的任何文件。XML lens 已经修复，可处理包含 CRLF 行结束符的文件，从而修复了此缺陷。(BZ#799879)

* 以前，Augeas 无法解析选项指令中“=”字符周围有空格的 modprobe.conf 文件。modprobe lens 已更新，解析不再失败。(BZ#826752)

建议所有 Augeas 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并且添加了上述增强。

检测

Oracle Linux 6：augeas (ELSA-2013-1537)

low Nessus 插件 ID 71102

未找到变更日志