Ubuntu xenial: cập nhật Radicale để khắc phục nguy cơ lộ mật khẩu

Ubuntu đã phát hành USN-9084-1 để khắc phục CVE-2017-8342 trong Radicale trên Ubuntu xenial. Thông báo cho biết vấn đề liên quan đến xác thực htpasswd và có thể khiến mật khẩu người dùng bị lấy qua mạng. Xem thông báo bảo mật Ubuntu.

Tổng quan và thông tin kỹ thuật

Radicale là máy chủ lịch và danh bạ CalDAV/CardDAV. Khi sử dụng xác thực htpasswd, Radicale không trì hoãn các lần xác thực thất bại; khác biệt về thời gian phản hồi hoặc brute-force có thể bị khai thác từ xa để lấy mật khẩu người dùng.

Phạm vi ảnh hưởng

Thông báo nêu Ubuntu xenial và các gói Radicale sau. Phiên bản sửa lỗi được cung cấp trong pocket esm-apps-legacy.

Cơ chế và tác động

Do xác thực thất bại không bị trì hoãn, kẻ tấn công từ xa có thể tận dụng thời gian phản hồi hoặc brute-force để lấy mật khẩu người dùng. Tác động được nêu là nguy cơ lộ mật khẩu.

Kiểm tra hệ thống

1. Kiểm tra phiên bản các gói Radicale đã cài trên Ubuntu xenial. Phiên bản 1.1.1-1ubuntu0.1~esm1 trở lên đạt mức sửa lỗi; phiên bản thấp hơn cần cập nhật. Nếu gói radicale không được cài, kiểm tra các gói python-radicale và python3-radicale tương ứng.

   Sao chép lệnh

   dpkg-query -W -f='${Package} ${Version}\n' python-radicale python3-radicale radicale
   dpkg --compare-versions "$(dpkg-query -W -f='${Version}' radicale 2>/dev/null)" ge 1.1.1-1ubuntu0.1~esm1

2. Kiểm tra trạng thái Ubuntu Pro để xác định khả năng nhận gói từ pocket esm-apps-legacy; xem trạng thái dịch vụ ESM Apps.

   Sao chép lệnh

   pro status

Khắc phục và giảm thiểu

1. Cài đặt bản cập nhật hệ thống tiêu chuẩn cung cấp các gói Radicale đã sửa lỗi, phiên bản 1.1.1-1ubuntu0.1~esm1.

2. Sau khi cập nhật, khởi động lại Radicale để áp dụng đầy đủ thay đổi.