重要（Important）：autofs5のセキュリティアップデート

セキュリティ欠陥を修正したautofs5のアップデートパッケージが、Red Hat Enterprise Linux 4のテクノロジプレビューとして利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重要（Important）」のセキュリティ問題と評価されています。

autofsユーティリティは、automountデーモンの動作を制御します。automountデーモンは自動的にファイルシステムをマウントし、一定期間使用されなければファイルシステムをアンマウントします。autofsバージョン5パッケージは、Red Hat Enterprise Linuxバージョン4.6でテクノロジプレビューとして提供されました。

autofsバージョン5のデフォルトインストール構成には、「hosts」マップのエントリで「nosuid」マウントオプションが指定されないというセキュリティ問題がありました。リモートnfsサーバを制御できるローカルユーザがリモートnfsサーバ上のエクスポートされたファイルシステム内でsetuid root実行可能ファイルを作成することにより、デフォルトのhostsマップを使用してマウントされた場合に、そのユーザがroot権限を取得することが可能です。（CVE-2007-5964）

autofsバージョン5がデフォルトでは常にhostsマップエントリのsuidをマウントするため、autofsに変更が加えられ、デフォルトのhostsマップからマウントするときは、常に「nosuid」オプションを使用するようになりました。以前の動作に戻すには、マスターマップエントリで「suid」オプションを明示的に指定する必要があります。この変更は、デフォルト設定の/netエントリに対応するhostsマップにしか影響しません。

ユーザは、この問題を解決するautofs5の上記アップデートパッケージにアップグレードしてください。

レッドハットは、この問題の報告についてJosh Lange氏に感謝します。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

410031 - CVE-2007-5964 autofs defaults don't restrict suid in /net

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5964
http://www.redhat.com/security/updates/classification/#important