发布日期：2013-02-18
更新日期：2013-02-19

受影响系统：

arthurdejong nss-pam-ldapd 0.8.1
arthurdejong nss-pam-ldapd 0.8
arthurdejong nss-pam-ldapd 0.7.13

描述：

---

BUGTRAQ  ID: 58007
CVE(CAN) ID: CVE-2013-0288

nss-pam-ldapd提供了NSS和PAM模块，可将LDAP用作命名服务。

nss-pam-ldapd 0.7.18、0.8.11之前版本没有正确检查数据合法性，在实现上存在栈缓冲区溢出漏洞，可导致在受影响应用中执行任意代码。

<*来源：Garth Mollett
  
  链接：http://arthurdejong.org/nss-pam-ldapd/CVE-2013-0288
        https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2013-0288
        http://seclists.org/oss-sec/2013/q1/336
        http://www.debian.org/security/2013/dsa-2628
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 使用nscd(或unscd)或者通过rlimit（系统范围）限制开放文件描述符，虽然不可完全避免，但可以降低此漏洞的利用成功率。

厂商补丁：

arthurdejong
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://arthurdejong.org/nss-pam-ldapd/

浏览次数：5080
严重程度：0（网友投票）