RHEL 7：ansible 與 openshift-ansible (RHSA-2017:1244)
critical Nessus Plugin ID 119388
語系：
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。說明
現已提供適用於 Red Hat OpenShift Container Platform 3.2、Red Hat OpenShift Container Platform 3.3、Red Hat OpenShift Container Platform 3.4 和 Red Hat OpenShift Container Platform 3.5 的 ansible 與 openshift-ansible 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Ansible 是一種簡單的模組驅動組態管理、多重節點部署及遠端工作執行系統。Ansible 在 SSH 上運作，且不需要於遠端節點上安裝任何軟體或程序。openshift-ansible 套件含有 Ansible 程式碼和劇本，可安裝並升級 OpenShift Container Platform 3。安全性修正：* 在 Ansible 處理來自用戶端系統的資料的方式中，發現一個輸入驗證弱點。若攻擊者可控制以 Ansible 管理的用戶端系統，並可將事實傳回到 Ansible 伺服器，那麼這名攻擊者就可利用此缺陷，憑藉 Ansible 伺服器權限在 Ansible 伺服器上執行任意程式碼。(CVE-2017-7466) * 在 Ansible 中發現輸入驗證缺陷，其無法正確將 lookup-plugin 結果標示為不安全。若攻擊者可控制 lookup() 呼叫的結果，他們就可以注入供 jinja2 範本化系統剖析的 Unicode 字串，進而導致程式碼執行。依預設，jinja2 範本化語言現已被標記為「不安全」，且未加以評估。(CVE-2017-7481) 這些問題是由 Evgeni Golov (Red Hat) 所發現。錯誤修正：* 如果同時更新其他 iptables 規則，安裝程式可能無法新增 iptables 規則。安裝程式現在會等待取得鎖定，進而確保正確建立規則。(BZ#1445194、BZ#1445282) * 在多主機環境中，如果 `ansible_host` 和 `openshift_hostname` 值不同，且 Ansible 以彼此不同的方式排序清單，則 CA 主機可能是第一個主機，但是他仍然會以第一個主機的主機名稱簽署初始憑證。此錯誤修正可透過確保在建立憑證授權單位時使用 CA 主機的主機名稱，來確保憑證以正確的主機名稱簽署。(BZ#1447399、BZ#1440309、BZ#1447398) * 每當達到開啟的檔案描述元最大數目時，透過 `batch` 系統執行 Ansible (如 `nohup` 命令) 會造成 Ansible 洩漏檔案描述元並中止劇本。Ansible 2.2.3.0 包含此問題的修正，而且 OCP 通道已經過更新，可包含此版本。(BZ# 1439277) * OCP 3.4 記錄堆疊將配置升級為使用通用標準記錄資料模型。但是缺少使用此配置的特定 Elasticsearch 和 Kibana 組態，進而造成 Kibana 在啟動時顯示錯誤訊息。正確的 Elasticsearch 和 Kibana 組態現在新增至記錄堆疊，包括從 OCP 3.3 到 3.4 的升級，以及從 3.4.x 到 3.4.y 的升級。因此，Kibana 會使用新的記錄資料配置正確運作。(BZ#1444106) * 升級劇本是以連續的方式升級套件而不是一次升級，因此 yum 相依性解析會安裝已啟用之存放庫中可用的最新版本，而不是要求的版本。此錯誤修正可更新劇本，以便一次將所有套件升級為要求的版本，進而防止 yum 可能升級至最新版本。(BZ#1391325、BZ#1449220、BZ#1449221) * 在使用混合容器化和 RPM 型安裝方法的環境中，當主機和節點使用不同的安裝方法時，安裝程式無法收集事實。此錯誤修正可更新安裝程式以確保混合安裝正常運作。(BZ#1408663) * 之前如果設定 `enable_excluders=false`，即使之前從未安裝過排除器，劇本仍然會在 config.yml 劇本期間安裝並升級排除器。透過此錯誤修正，如果之前未安裝過排除器，劇本就會避免安裝它們。(BZ#1434679) * 之前如果命名空間在其描述中含有非 ASCII 字元，則劇本會中止。此錯誤修正可更新劇本以便正確為 Unicode 字元解碼，進而確保升級至 OCP 3.5 如預期般運作。(BZ #1444806)解決方案
更新受影響的套件。另請參閱
https://access.redhat.com/errata/RHSA-2017:1244
Plugin 詳細資訊
嚴重性: Critical
ID: 119388
檔案名稱: redhat-RHSA-2017-1244.nasl
版本: 1.9
類型: local
代理程式: unix
已發布: 2018/12/4
已更新: 2022/5/26
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 8.5
時間分數: 6.3
媒介: CVSS2#AV:N/AC:M/Au:S/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2017-7466
CVSS v3
風險因素: Critical
基本分數: 9.8
時間分數: 8.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS 評分資料來源: CVE-2017-7481
弱點資訊
CPE: p-cpe:/a:redhat:enterprise_linux:ansible, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-utils, p-cpe:/a:redhat:enterprise_linux:openshift-ansible, p-cpe:/a:redhat:enterprise_linux:openshift-ansible-callback-plugins, p-cpe:/a:redhat:enterprise_linux:openshift-ansible-docs, p-cpe:/a:redhat:enterprise_linux:openshift-ansible-filter-plugins, p-cpe:/a:redhat:enterprise_linux:openshift-ansible-lookup-plugins, p-cpe:/a:redhat:enterprise_linux:openshift-ansible-playbooks, p-cpe:/a:redhat:enterprise_linux:openshift-ansible-roles, cpe:/o:redhat:enterprise_linux:7
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2017/5/17
弱點發布日期: 2018/6/22
參考資訊
CVE: CVE-2017-7466, CVE-2017-7481
RHSA: 2017:1244