重要（Important）：autofs5のセキュリティアップデート

セキュリティ問題を修正したautofs5のアップデートテクノロジプレビューパッケージがRed Hat Enterprise Linux 4で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重要（Important）」のセキュリティ問題と評価されています。

autofsユーティリティは、automountデーモンの動作を制御します。automountデーモンは、使用時にファイルシステムを自動的にマウントし、使用していないときは自動的にアンマウントします。これには、ネットワークファイルシステムやCD-ROMを含めることもできます。autofs5パッケージは、Red Hat Enterprise Linux 4.6でテクノロジプレビューとして提供されました。

autofsバージョン5のデフォルト構成には、「-hosts」マップのエントリで「nodev」マウントオプションが指定されないというセキュリティ問題がありました。リモートNFSサーバを制御できるローカルユーザがリモートファイルシステム上で特殊なデバイスファイルを作成することにより、デフォルトの「-hosts」マップを使用してマウントされた場合に、そのユーザが重要なシステムデバイスにアクセスすることが可能です。（CVE-2007-6285）

この問題は、autofsにおける「nosuid」マウントオプションの欠落を修正したCVE-2007-5964に類似しています。マシンの完全性が損なわれないようにするには、「nodev」オプションと「nosuid」オプションを両方とも有効にする必要があります。

autofsがデフォルトでは常に「-hosts」マップエントリの「dev」をマウントするため、autofsに変更が加えられ、デフォルトの「-hosts」マップからマウントするときは、常に「nodev」オプションを使用するようになりました。以前の動作に戻すには、マスターマップエントリで「dev」オプションを明示的に指定する必要があります。この変更は、デフォルト設定の「/net」エントリに対応する「-hosts」マップにしか影響しません。

autofs5ユーザは、この問題を解決する上記アップデートパッケージにアップグレードしてください。

レッドハットは、この問題の報告についてTim Baum氏に感謝します。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

426218 - CVE-2007-6285 autofs default doesn't set nodev in /net

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6285
http://www.redhat.com/security/updates/classification/#important