JVNVU#648244: Oracle Solaris 10 に認証情報漏えいの脆弱性

Oracle Solaris 10 には、認証情報が漏えいする脆弱性が存在します。

Oracle Solaris 10 のバックアウトパッチには、パスワードハッシュ情報が漏えいする脆弱性が存在します。

パスワードハッシュを取得した第三者によって、root や一般ユーザアカウントの認証情報を推測される可能性があります。

パッチを適用する
開発者の情報をもとに 119254-80 のパッチを適用してください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

ベンダ	リンク
Oracle	Oracle Solaris

US-CERT Vulnerability Note VU#648244
Oracle Solaris 10 password hashes leaked through back-out patch files

2011.04.06における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	シェルからのシステムログインやリモートデスクトップなどから攻撃が可能	低 - 中
認証レベル	システムに正規登録されている一般ユーザのアカウントが必要	低 - 中
攻撃成立に必要なユーザーの関与	ユーザが何もしなくても脆弱性が攻撃される可能性がある	高
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

JVNVU#648244 Oracle Solaris 10 に認証情報漏えいの脆弱性