RHEL 7：rhvm-appliance (RHSA-2017:3141)

critical Nessus Plugin ID 104493

語系：

概要

遠端 Red Hat 主機缺少安全性更新。

說明

現已提供適用於 RHEV 4.X RHEV-H 與 RHEL-7 之代理程式的 rhvm-appliance 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。RHV-M Virtual Appliance 可自動化 Red Hat Virtualization Manager 的安裝和設定程序。可從客戶入口網站將此應用裝置下載為 OVA 檔案。下列套件已升級至更新的上游版本：rhvm-appliance (20171019.0)。(BZ#1496586) 安全性修正：* 在 jackson-databind 中發現還原序列化缺陷，可讓未經驗證的使用者透過傳送惡意特製的輸入到 ObjectMapper 的 readValue 方法來執行程式碼。(CVE-2017-7525) * 在 Jasypt 中發現一個弱點，攻擊者可藉以對密碼雜湊比較發動計時攻擊。(CVE-2014-9970) *據發現，將可供存取類別內私密成員的安全管理員反射權限授予 Hibernate Validator 時，可能會發生權限提升問題。允許呼叫程式碼在無權限的情況下存取這些私密成員，攻擊者可能就可驗證無效的執行個體，並透過 ConstraintViolation#getInvalidValue() 存取私密成員值。(CVE-2017-7536) Red Hat 感謝 Liao Xinxi (NSFOCUS) 報告 CVE-2017-7525。CVE-2017-7536 問題是由 Gunnar Morling (Red Hat) 所發現。