7.2. セキュリティー

今回のアップデート以前は、AIDE がハッシュ値の計算中に、ファイルが切り詰められたり削除されたりすると、AIDE はエラーで終了していました。今回のアップデートにより、AIDE はハッシュ値の計算中にファイルが切り詰められたり削除されたりした場合にそれを検知し、安全に処理するようになりました。その結果、AIDE は、監視対象ファイルのサイズが変更されたり、処理中に削除されたりした場合でも、整合性チェックを正常に完了します。

Jira:RHEL-1569

今回のアップデート以前は、cracklib および cracklib-dicts パッケージに含まれる CrackLibWeb サイトの URL が古いものでした。その結果、cracklib-dicts のダウンロードが正しく行われていませんでした。今回のリリースにより、cracklib および cracklib-dicts RPM 内の URL が、新しい Web サイトの URL に更新されました。その結果、パッケージ情報が正確になりました。

Jira:RHEL-5215

今回のアップデート以前は、clevis-pin-tpm2 コマンドは TPM2 による暗号化中に JSON フィールド名を検証せず、タイプミスや無効なフィールド (たとえば pcr_ids の代わりに pcrs_ids など) をサイレントに無視していました。その結果、ユーザーは、入力ミスなどによる誤った TPM2 設定の LUKS バインディングを意図せずに作成してしまう可能性がありました。これにより、TPM の状態が変化する際にロック解除に失敗し、システムが起動不能になる恐れがありました。

今回のアップデートでは、暗号化時に TPM2 設定内の未知のフィールドを拒否するための JSON スキーマ検証機能が追加されました。その結果、TPM2 の JSON 設定内に無効なフィールド名がある場合は、明確なエラーメッセージと共に正しく拒否されるようになります。これにより、ロック解除の失敗につながるような、気づきにくい設定ミスを未然に防ぐことができます。

Jira:RHEL-68417

たとえば、/usr/lib/rpm/redhat/redhat-annobin-cc1 や /etc/selinux/targeted/policy/policy.33 など、RPM パッケージが所有する一部のファイルは、インストール中およびインストール後に内容が変更されることが想定されていますが、これらは引き続き対応するパッケージの所有として管理されます。したがって、fapolicyd は、そのようなファイルを検証できません。今回のリリースにより、fapolicyd フレームワークは、RPM データベースにサイズ情報またはチェックサム情報がないファイルを信頼データベースに追加しなくなりました。その結果、fapolicyd-cli --check-trustdb コマンドは、そのようなファイルに対して miscompares: size sha256 エラーメッセージを報告しません。

Jira:RHEL-94661

今回のアップデート以前は、Keylime registrar が、形式が不正な Endorsement Key (EK) 証明書に対して、不要なデータ変換を実行していました。このプロセスにより証明書が破損し、署名が無効になっていました。そのため、非標準の証明書を持つ Trusted Platform Module (TPM) デバイスに対して、ek_check_script の回避策を使用できませんでした。

今回のアップデートにより、データベースがデータ破損なく EK 証明書を保存できるようになりました。そのため、Keylime registrar とカスタム検証スクリプトを使用して、不正な証明書を持つ TPM デバイスを検証できます。

Jira:RHEL-111167^[1]

今回のアップデート以前は、署名付き Trusted Platform Module (TPM) クォートを生成する際に、keylime-agent-rust コンポーネントは Elliptic Curve Cryptography (ECC) 鍵アルゴリズムを適切にサポートしていませんでした。これにより、エージェントは TPM クォート証拠を生成できず、ECC 鍵タイプでの登録に失敗していました。今回のアップデートにより、keylime-agent-rust コンポーネントは、TPM クォート生成時に ECC 鍵アルゴリズムを正しく処理するようになりました。これにより、エージェントは正常に TPM クォートを生成して verifier に登録し、TPM で生成された ECC 鍵による完全なアテステーション機能を提供できるようになりました。

Jira:RHEL-118148

今回のアップデート以前は、エージェントからの署名済み Trusted Platform Module (TPM) クォートを検証する際に、Keylime verifier コンポーネントが Elliptic Curve Cryptography (ECC) 鍵アルゴリズムを適切にサポートしていませんでした。これにより、エージェントが ECC 鍵タイプ ecc521、ecc384、ecc256、ecc224、または ecc192 を使用した場合に、アテステーションエラーが発生していました。今回のアップデートにより、verifier は ECC 鍵で署名された TPM クォートを正しく処理し、検証できるようになりました。その結果、Keylime はこれらのアルゴリズムに対して完全なアテステーション機能を提供します。

Jira:RHEL-118150

今回のアップデート以前は、scp ユーティリティーにおいて、パスに含まれる .. 親ディレクトリーのインジケーターが実際のディレクトリー名に展開されませんでした。その結果、scp は .. を含む相対パスを誤って処理していました。今回のアップデートにより、親ディレクトリー表示に関する特別な処理が追加されました。その結果、scp は .. を含むパスを正しく処理するようになりました。

Jira:RHEL-119515

今回のアップデート以前は、ssh-pkcs11-helper バイナリーに特定の SELinux セキュリティーコンテキストが欠けていました。そのため、制限されたユーザーが ssh-agent プログラムにリクエストを送信することができませんでした。その結果、user_u や staff_u などの制限されたユーザーが、スマートカードベースの鍵を ssh-agent に追加できませんでした。今回のアップデートにより、ssh-pkcs11-helper に ssh_agent_exec_t というラベルが付けられ、結果をキャッシュするためのルールがさらに追加されました。その結果、制限されたユーザーでも ssh-agent を使用してスマートカードを正常に使用できるようになりました。そのため、エージェントが PKCS #11 鍵に正しくアクセスして、結果をユーザーのホームキャッシュにキャッシュすることが可能になりました。

Jira:RHEL-121165

今回のアップデート以前は、データベースのパスワードを変更した際に、NSS がデータベースの再暗号化を処理する方法にバグがあるため、ML-DSA のシード属性が更新されないという問題が発生していました。その結果、以前のパスワードを知っていたとしても、シード値が永久に失われてしまいました。

今回のアップデートにより、パスワードの変更時に ML-DSA のシード属性が正しく更新されるようになりました。これにより、シード値が永久に失われる問題が解消されました。なお、今回のアップデート以前に失われたシードは、引き続き復元できない点に注意してください。

Jira:RHEL-127671^[1]

今回のアップデート以前は、パッケージモードからイメージモードへの移行時に、パッケージのインストールによるユーザーおよびグループのメンバーシップの更新が正しく適用されませんでした。その結果、clevis ユーザーが tss セキュリティーグループに追加されず、Clevis がシステムの起動中に Trusted Platform Module (TPM) デバイスにアクセスして暗号化キーを取得することが阻止されていました。今回のアップデートにより、Clevis パッケージのインストールプロセスが更新され、既存の設定ファイルが保持される場合でも、イメージモードの更新中に clevis ユーザーが tss グループに適切に追加されるようになりました。これにより、Clevis はイメージモードのシステム上で TPM デバイスに適切にアクセスし、暗号鍵を正常に取得できるようになりました。

Jira:RHEL-132187

今回のアップデート以前は、SELinux ポリシーにより、制限されたユーザーが Assistive Technology Service Provider Interface (AT-SPI) サービスを使用することが制限されていました。その結果、これらのサービスはグラフィカルデスクトップ環境では動作していませんでした。今回のアップデートにより、SELinux ポリシーに必要な実行権限とディレクトリーアクセス権限が追加されます。

その結果、Orca スクリーンリーダーやオンスクリーンキーボードなどの支援技術が、SELinux enforcing モードの制限されたユーザーに対しても正しく機能するようになります。

Jira:RHEL-133898^[1]

今回のアップデート以前は、/usr/share/*/bin/ ディレクトリーにあるバイナリーが、fapolicyd サービスによって信頼済みデータベースに追加されていませんでした。たとえば、/usr/share/Modules/bin/mkroot バイナリーは追加されていませんでした。そのため、fapolicyd ルールで trust=1 オプションを使用している場合、ユーザーはこれらのバイナリーを実行できませんでした。この修正により、fapolicyd-filter.conf ファイルに */bin/* が含まれるようになりました。その結果、fapolicyd サービスが有効な状態で、/usr/share/*/bin/ にあるバイナリーを実行できるようになりました。

Jira:RHEL-141670