OSSTech OpenLDAP 2.4 リリースノート

OSSTech(株)更新日

2023 年 12 月 14 日

目次
1はじめに

1

2

パッケージ更新履歴

23

コミュニティ版との差異

113.1

OSS テクノロジ提供 OpenLDAP に独自で適用している修正 . . . . . . . .

11

3.2

Fedora 用 RPM パッケージで適用されていたパッチ . . . . . . . . . . . . .

11

3.3

Debian OpenLDAP パッケージで適用されていたパッチ . . . . . . . . . . .

11© 2023 OSSTech Corporationi

1 はじめに本ドキュメントは、OSS テクノロジ提供の OpenLDAP パッケージの修正内容について記載しています。このパッケージはコミュニティ版 OpenLDAP 2.4.59 のソースコードをベースとしています。コミュニティ版のリリースノートについては次のページより確認してください。

https://www.openldap.org/software/release/changes.html$ rpm -qa | grep osstech-openldap
osstech-openldap-2.4.59-XXX.el8.x86_64© 2023 OSSTech Corporation1

2 パッケージ更新履歴• 2023 年 12 月 1 日 osstech-openldap-2.4.59-185– ldifdiﬀ の不具合を修正:∗ 折り畳まれた属性の継続行に <空白以外の文字列>: が含まれていると属性名として認識されてしまう問題。

∗ 折り畳まれたコメントまたは除外属性が含まれていると、エラーメッセージを出力したり、除外していない属性の値に含まれてしまう問題。

– ldifdiﬀ がデフォルトで無視する属性に操作属性 entryDN , subschemaSubentry, numSubordinates , hasSubordinates を追加。
• 2023 年 11 月 28 日 osstech-openldap-2.4.59-184– mdb_tools の追加• 2023 年 06 月 08 日 osstech-openldap-2.4.59-183– CVE-2023-2953 不正な LDIF を読み込むと LDAP クライアントがクラッシュする不具合の修正• 2022 年 10 月 11 日 osstech-openldap-2.4.59-181– OpenLDAP 2.4.59 にバージョンアップ
• 2022 年 8 月 23 日 osstech-openldap-2.4.58-180– slapdbbackup: バックアップ不要の numSubordinates 属性を除外• 2022 年 1 月 20 日 osstech-openldap-2.4.58-179– slapd.service: rsyslog.service の起動が有効なとき、その起動完了を待ってからslapd を起動するように修正• 2021 年 12 月 8 日 osstech-openldap-2.4.58-178– back-wt: syncprov オーバーレイ利用時の起動時に全エントリ読み込みによる起動時間が増加する問題を修正– ppolicy: パスワードポリシー pwdMaxLength に対応• 2021 年 11 月 15 日 osstech-openldap-2.4.58-177– back-wt: conﬁg バックエンド使用時に slapdbbackup のバックアップが失敗する
問題を修正– ldifunwrap: perl が存在しないときに実行する実装を awk から sed に変更 (実行速度の改善)– osstech-openldap-servers パッケージに back-perl が含まれてしまっていた問題を修正 (osstech-openldap-servers-2.4.50-163 以降で発生)© 2023 OSSTech Corporation2

• 2021 年 10 月 29 日 osstech-openldap-2.4.58-176– slapd_db_size を Python スクリプトに変更 (/bin/ksh 依存の解消)– slapd_db_size と slapdstatslog2json コマンドを osstech-openldap-servers パッケー
ジから osstech-openldap-python-scripts パッケージに分離 (python3 依存の緩和)• 2021 年 10 月 26 日 osstech-openldap-2.4.58-175– slapdbbackup: cron: 出力をメールでなく syslog に出力するように変更– slapd.conf: TLSCertiﬁcateFile にサーバー証明書に続けて 中間 CA 証明書を含められるように拡張– slapdstatslog2json: 出力を Concatenated JSON 形式から JSONL (JSON Lines) 形式に変更• 2021 年 09 月 22 日 osstech-openldap-2.4.58-174– osstech-openldap-psync-1.0.1 ユーザーの登録・更新時にパスワードの同期が実行される機能を追加• 2021 年 08 月 11 日 osstech-openldap-2.4.58-172– osstech-openldap-2.4.50-163 以前を使用していた環境からアップデートしたときに osstech-slapd サービスが起動できなくなる問題を修正 (2.4.58-171 で発生)

– slapdstatslog2json:∗ 非同期 LDAP 操作ログに対応∗ LDAP 操作にかかった時間を計算して出力• 2021 年 04 月 12 日 osstech-openldap-2.4.58-171– back-wt: スコープのチェックが正しく行われない不具合を修正• 2021 年 3 月 22 日 osstech-openldap-2.4.58-170– OpenLDAP 2.4.58 にバージョンアップ
∗ CVE-2021-27212 の脆弱性を修正– RHEL 8: rsyslog 以外の syslog サービスをインストール可能に変更• 2021 年 2 月 15 日 osstech-openldap-2.4.57-169– OpenLDAP 2.4.57 にバージョンアップ
∗ CVE-2020-36221 の脆弱性を修正∗ CVE-2020-36222 の脆弱性を修正∗ CVE-2020-36223 の脆弱性を修正∗ CVE-2020-36224 の脆弱性を修正∗ CVE-2020-36225 の脆弱性を修正∗ CVE-2020-36226 の脆弱性を修正∗ CVE-2020-36227 の脆弱性を修正© 2023 OSSTech Corporation3

∗ CVE-2020-36228 の脆弱性を修正∗ CVE-2020-36229 の脆弱性を修正∗ CVE-2020-36230 の脆弱性を修正• 2020 年 12 月 14 日 osstech-openldap-2.4.56-168– OpenLDAP 2.4.56 にバージョンアップ– UUID 値に不正な値を渡すと不正終了する問題を修正– CSN 値に不正な値を渡すと不正終了する問題を修正– マルチマスター構成でセッションログを有効化したときに不正終了する問題を修正• 2020 年 11 月 30 日 osstech-openldap-2.4.55-167– back-wt: 冗長なログメッセージを抑制• 2020 年 11 月 10 日 osstech-openldap-2.4.55-166– OpenLDAP 2.4.55 にバージョンアップ
– RHEL 6 対応を廃止• 2020 年 10 月 27 日 osstech-openldap-2.4.50-165– back-wt: 同時エントリの追加で不整合が発生する問題の修正• 2020 年 7 月 2 日 osstech-openldap-2.4.50-164– slapdbbackup: バックアップファイル名への接頭辞付与に対応– 新規インストール時に syslog ソケット /opt/osstech/dev/log ソケットが有効な場
合に syslog 出力先として利用 (sysmted-journald(8) を経由する/dev/log より高速なログ出力)• 2020 年 5 月 25 日 osstech-openldap-2.4.50-163– モ ジ ュ ー ル フ ァ イ ル (バ ッ ク エ ン ド 、オ ー バ ー レ イ) の 場 所 を/opt/osstech/lib64/openldap2.4 下から /opt/osstech/libexec/openldap 下へ移動
– slapdstatslog2json コマンドを追加 (要 python3 パッケージ)– 環境変数 SLAPD_TCP_KEEPALIVE_IDLE, SLAPD_TCP_KEEPALIVE_PROBES,SLAPD_TCP_KEEPALIVE_INTERVAL に対応– RHEL7: 環境変数 SLAPD_WRAPPER_COMMAND, SLAPD_WRAPPER_OPTIONSに対応 (RHEL8 版と同様。アップグレード時は無効)• 2020 年 5 月 14 日 osstech-openldap-2.4.50-162– OpenLDAP 2.4.50 にバージョンアップ
– syslog.so: GNU libc 環境で syslog(3) が上書きできない問題を修正– syslog.so: 環境変数 SLAPD_SYSLOG_SOCKET_PATH で /dev/log 以外に対応• 2020 年 1 月 18 日 osstech-openldap-2.4.48-161© 2023 OSSTech Corporation4

– slapd-run のインストール場所を変更– slapd.service: インストール時のサービス有効・無効状態を systemd.preset(5) 設定に従うように変更 (通常は無効状態)– slapd.service: 突発的なサービス開始回数制限を 2 に緩和• 2019 年 12 月 12 日 osstech-openldap-2.4.48-160– OpenLDAP 2.4.48 にバージョンアップ
– RHEL8: daemontools への依存をなくした– slapd-run (slapd サービス起動スクリプト) を追加– smbk5pwd: sambaLMPassword 対応を無効化– slapd.service: シグナル等で不正終了したときに自動再起動する• 2019 年 12 月 3 日 osstech-openldap-2.4.46-159– RHEL8 版でリンクする BDB を OS 標準版に変更– 同梱のインストールガイドを改訂版に変更• 2019 年 9 月 24 日 osstech-openldap-2.4.46-158– back-wt: 同一エントリに対する同時更新時の排他制御の問題を修正• 2019 年 8 月 27 日 osstech-openldap-2.4.46-157– back-wt: idlcache オプション (on/oﬀ) を追加– back-wt: データ初期化時のエントリ投入に失敗する問題を修正• 2019 年 8 月 9 日 osstech-openldap-2.4.46-156– WiredTiger 3.2 にアップデート– back-wt: インデックスカーソルのキャッシュシステムを変更– back-wt: numSubordinates 属性をサポート– back-mdb: numSubordinates 属性をサポート• 2019 年 6 月 14 日 osstech-openldap-2.4.46-153– BDB バックエンドで検索時の DB_LOCK_NOTGRANTED エラー時の処理を修正– pbkdf2 の変換アルゴリズムを修正– ldifunbase64 コマンドで属性名に”-“が含まれている場合の処理を修正– ppolicy-pwdcheck モジュールにユーザー名をチェックする機能を追加– ppolicy-pwdcheck モジュールの子プロセス生成を vfork(2) に変更• 2018 年 9 月 27 日 osstech-openldap-2.4.46-151– RPM パッケージの Requires に依存ライブラリの依存ライブラリを含めないように– back-wt: DB カーソルの再利用に関する不具合を修正© 2023 OSSTech Corporation5

– back-wt: WiredTiger 3.1 にアップデート• 2018 年 6 月 29 日 osstech-openldap-2.4.46-147– psync で AD 側のユーザーが存在しない場合のエラーを抑制– argv0 を廃止• 2018 年 5 月 11 日 osstech-openldap-2.4.46-144– lastbind で authTimestamp が同期されるよう修正• 2018 年 4 月 05 日 osstech-openldap-2.4.46-143– OpenLDAP 2.4.46 にバージョンアップ
• 2018 年 3 月 12 日 osstech-openldap-2.4.45-142– back-wt の改良、不具合修正• 2018 年 2 月 20 日 osstech-openldap-2.4.45-140– RHEL 7: back-perl を有効化
• 2018 年 2 月 09 日 osstech-openldap-2.4.45-139– back-wt の改良、不具合修正– WiredTiger 3.0.0 にバージョンアップ
• 2018 年 1 月 26 日 osstech-openldap-2.4.45-137– back-wt の slapcat 実行時にファイル所有者変更を抑制– back-wt の不具合修正• 2018 年 1 月 14 日 osstech-openldap-2.4.45-136– slapdbbackup を WiredTiger バックエンドに対応• 2018 年 1 月 9 日 osstech-openldap-2.4.45-135– Amazon Linux 2 でのエラー抑制• 2017 年 12 月 27 日 osstech-openldap-2.4.45-134– WiredTiger バックエンド の改良、不具合修正– テストをパッケージに追加• 2017 年 11 月 20 日 osstech-openldap-2.4.45-132– 起動時にバージョン情報をログに出力– systemd への移行/差し戻し処理時に slapd サービスの有効/無効状態を維持– WiredTiger バックエンドのバージョンを README.back-wt ファイルに記録• 2017 年 10 月 15 日 osstech-openldap-2.4.45-131– slapd の core ファイルが生成されない問題を修正 (2.4.45-127 以降で発生)• 2017 年 10 月 12 日 osstech-openldap-2.4.45-130– autogroup オーバーレイの設定ミス時に不正終了する問題を修正• 2017 年 9 月 8 日 osstech-openldap-2.4.45-129© 2023 OSSTech Corporation6

– /opt/osstech/etc/sysconﬁg/slapd ファイルが存在しないと起動しない問題を修正– Linux: slapd: CRYPT 形式パスワードハッシュの生成・照合に crypt_r(3) を利用• 2017 年 8 月 30 日 osstech-openldap-2.4.45-128– 起動ログに RPM のバージョンを出力– Docker 対応• 2017 年 8 月 14 日 osstech-openldap-2.4.45-127– RHEL 7: systemd に移行• 2017 年 7 月 21 日 osstech-openldap-2.4.45-126– Solaris 10: PKG 版パッケージ検出処理を廃止– Berkeley DB バージョン変更の対応を廃止 (バージョン固定することを前提とする)• 2017 年 7 月 19 日 osstech-openldap-2.4.45-125– 共有ライブラリの依存関係を修正• 2017 年 7 月 12 日 osstech-openldap-2.4.45-124– ldap-stats.pl を追加 (実験的)– syslog.so を追加 (実験的)• 2017 年 6 月 14 日 osstech-openldap-2.4.45-123– 新規インストール時に slapd の SASL EXTERNAL 認証が無効になる問題を修正。
• 2017 年 6 月 13 日 osstech-openldap-2.4.45-122– OpenLDAP 2.4.45 へのバージョンアップ
– WiredTiger バックエンドを有効化• 2017 年 2 月 20 日 osstech-openldap-2.4.44-120– LDAP サーバーの SASL 設定ファイル/opt/osstech/etc/openldap/sasl/slapd.conf に追加。

– LDAP サーバーの SASL 認証をデフォルトは EXTERNAL 以外すべて無効化。
ただし、以前のバージョンからのアップデート時は影響なし。

• 2017 年 2 月 20 日 osstech-openldap-2.4.44-119– Solaris SPARC 向けビルド• 2017 年 1 月 25 日 osstech-openldap-2.4.44-118– psync 0.5 へバージョンアップ
• 2017 年 1 月 12 日 osstech-openldap-2.4.44-117– psync 0.4 へバージョンアップ
– Windows でファイル名が切れてしまう CD イメージの問題を修正• 2016 年 11 月 24 日 osstech-openldap-2.4.44-115© 2023 OSSTech Corporation7

– LDAP サーバーログファイルのデフォルトのパスを/var/log/osstech/ldap.log に変更。ただし、以前のバージョンからのアップデート時は以前のパス (/opt/osstech/-var/log/syslog/ldap.log) が維持される。
• 2016 年 5 月 27 日 osstech-openldap-2.4.44-112– slapasswd で PBKDF2 ハッシュモジュールを自動ロード• 2016 年 4 月 14 日 osstech-openldap-2.4.44-110– OpenLDAP 2.4.44 へのバージョンアップ
• 2016 年 1 月 29 日 osstech-openldap-2.4.43-109– OpenLDAP 2.4.43 へのバージョンアップ
• 2016 年 1 月 5 日 osstech-openldap-2.4.42-108– パスワードポリシー（履歴）の仕様改善• 2015 年 12 月 23 日 osstech-openldap-2.4.42-105– Berkeley DB 内のデータサイズ確認コマンド追加• 2015 年 11 月 17 日 osstech-openldap-2.4.42-102– OpenLDAP 2.4.42 へのバージョンアップ
• 2015 年 11 月 4 日 osstech-openldap-2.4.41-101– スキーマファイル ad.schema の追加• 2015 年 9 月 11 日 osstech-openldap-2.4.41-98– 脆弱性 (CVE-2015-6908) 対応• 2015 年 7 月 1 日 osstech-openldap-2.4.40-91– セグメンテーション違反発生時、 core ファイルが生成されるよう機能強化• 2015 年 2 月 23 日 osstech-openldap-2.4.39-81– 脆弱性 (CVE-2015-1545) 対応• 2014 年 7 月 18 日 osstech-openldap-2.4.39-75– OpenLDAP 2.4.39 へのバージョンアップ
• 2014 年 2 月 19 日 osstech-openldap-2.4.35-74– シンタックスが Numeric String の属性に、数値的な大小比較ができるようなマッチングルールを追加• 2014 年 2 月 13 日 osstech-openldap-2.4.35-72– autogroup オーバーレイのバグ修正• 2014 年 2 月 7 日 osstech-openldap-2.4.35-71– パスワードを Active Directory と同期するオーバーレイの強化• 2014 年 1 月 24 日 osstech-openldap-2.4.35-70– PBKDF2 パ ス ワ ー ド ハ ッ シ ュ モ ジ ュ ー ル の 強 化 ({PBKDF2-SHA256}及 び© 2023 OSSTech Corporation8{PBKDF2-SHA512}に対応)• 2013 年 12 月 4 日 osstech-openldap-2.4.35-69– パスワードを Active Directory と同期するオーバーレイの追加• 2013 年 12 月 4 日 osstech-openldap-2.4.35-68– PBKDF2 パスワードハッシュモジュールの追加• 2013 年 8 月 13 日 osstech-openldap-2.4.35-64– 起動スクリプトの修正∗ Red Hat Enterprise Linux 6 標準の OpenLDAP がインストールされている場
合、LDAPS がポートリザーブされ、LDAPS 接続ができない可能性があるた
め slapd 起動前に portreserve を実行– デフォルト設定ファイルのタイプミスを修正– スキーマファイル openssh-lpk.schema の追加∗ OpenSSH 6.2 以降の sshd_conﬁg(5) の AuthorizedKeysCommand 経由で参照
する SSH 公開鍵情報を格納するための属性 sshPublicKey とオブジェクト
クラス ldapPublicKey を定義するスキーマ ($HOME/.ssh/authorized_keys の代替) 。

• 2013 年 4 月 18 日 osstech-openldap-2.4.35-61– slapd が書き込み中に slapcat が不完全なデータを出力する問題を修正∗ https://bugs.openldap.org/show_bug.cgi?id=6365– slapd.conf を修正• 2013 年 4 月 2 日 osstech-openldap-2.4.35-58– OpenLDAP 2.4.35 へのバージョンアップ
• 2013 年 3 月 15 日 osstech-openldap-2.4.31-56– ns-mail.schema に mailAlternateAddress 属性及び mailHost 属性を追加• 2012 年 10 月 19 日 osstech-openldap-2.4.31-55– LDIF スクリプトを追加 (ldifsortattr.pl)• 2012 年 7 月 26 日 osstech-openldap-2.4.31-54– バックアップ用 cron 設定ファイルのパーミッションを変更– ホスト名のメモリ管理の問題を修正∗ https://bugs.openldap.org/show_bug.cgi?id=7270– gettime() を再入可能にするための修正∗ https://bugs.openldap.org/show_bug.cgi?id=6262• 2012 年 6 月 1 日 osstech-openldap-2.4.31-52– OpenLDAP 2.4.31 へのバージョンアップ
© 2023 OSSTech Corporation9

– slappasswd で動的モジュールをロードするオプションを追加– Salted SHA-2 サポート
– データベースのバックアップスクリプトを追加– LDIF スクリプトを追加 (ldifdiﬀ.pl, ldifunwrap,pl, ldifsort.pl)– Netscape Messaging Server 4.x のスキーマ定義ファイルを追加 (ns-mail.schema)– サービススクリプトがデータベースディレクトリを自動作成するように変更– 既定で ldapi を有効化
– AIX パッケージの SASL を有効化
– dynacl オーバーレイを有効化– contrib の一部のオーバーレイのビルドを修正– pw-netscape 及び pw-sha2 オーバーレイを有効化• 2011 年 12 月 5 日 osstech-openldap-2.4.25-42– International Components for Unicode(ICU) をビルド時にリンクしないように修正© 2023 OSSTech Corporation10

3 コミュニティ版との差異
OSS テクノロジ提供の OpenLDAP はコミュニティ版 OpenLDAP と以下の差異があります。

3.1 OSS テクノロジ提供 OpenLDAP に独自で適用している
修正• WiredTiger バックエンドの追加• パスワードポリシー（履歴）の仕様改善• Berkeley DB 内のデータサイズ確認コマンドの追加• OpenLDAP のログファイル出力設定を追加• OpenLDAP 公開関数と変数を OSSTech 版固有の名称に変更• AIX 6 の Workload Partition(WPAR) 利用時に一般ユーザーが /dev/urandom をオープンできないケースに対応• 各種スキーマファイルの追加• PBKDF2 パスワードハッシュモジュールの追加• パスワードを Active Directory と同期するオーバーレイの追加• autogroup オーバーレイのバグ修正パッチ

3.2 Fedora 用 RPM パッケージで適用されていたパッチ• ldaprc ファイルを利用しないように修正• setgid が実行されている場合にユーザー設定を読み込まないように修正• slapd を位置独立実行形式 (PIE) でビルドするように修正• slaptools のシンボリックリンクを同一ディレクトリの slapd を指定して作成するように修正• Perl、SQL のライブラリを直接リンクしないように修正• リエントラントでない関数 gethostbyname()/gethostbyaddr() が繰り返し呼ばれた際にデッドロックが発生する問題を修正

3.3 Debian OpenLDAP パッケージで適用されていたパッチ• slapindex が root ユーザーで実行された場合に警告を出すように修正– https://bugs.openldap.org/show_bug.cgi?id=5356© 2023 OSSTech Corporation11