遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:0547 公告中提及的多個弱點影響。

    Red Hat CloudForms 是一種內部部署混合雲端基礎架構即服務 (IaaS) 產品，可讓您建立並管理私有和公有雲端。它以受管理、受管控且安全的方式為使用者提供自助式運算資源。CloudForms System Engine 可用於設定新系統、訂閱更新，以及維護分散式環境中的安裝。

    據發現，在安裝和組態處理程序期間執行的 /usr/share/katello/script/katello-generate-passphrase 公用程式會對 /etc/katello/secure/passphrase 檔案設定任何人皆可讀取的權限。本機攻擊者可利用此瑕疵取得 Katello 的密碼，從而存取其原本無法存取的資訊。
    (CVE-2012-5561)

    注意：安裝此更新之後，請確保 /etc/katello/secure/passphrase 檔案是由 root 使用者和群組及模式 0750 權限所擁有。網站也應考慮重新建立 Katello 密碼，因為此問題會將密碼洩漏給本機使用者。

    katello-configure 公用程式執行的其中一項工作是建立要安裝在需要連線至 Katello 伺服器的用戶端電腦上的 RPM。據發現，此 RPM 會在用於信任 Katello 伺服器的 pem 檔案 (包含憑證授權單位憑證) 上，設定任何人皆可讀取和寫入的權限。攻擊者可利用此缺陷發動攔截式攻擊，進而允許他們管理 (例如安裝和移除軟體) Katello 用戶端系統。(CVE-2012-6116)

    CVE-2012-5561 問題是由 Red Hat Cloud Quality Engineering 團隊的 Aaron Weitekamp 所發現，而 CVE-2012-6116 是由 Red Hat 的 Dominic Cleal 和 James Laska 所發現。

    此更新也可修正下列錯誤：

    * CloudForms System Engine 命令行工具未正確剖析地區設定，進而造成下列錯誤：

    缺少轉譯：de.activerecord.errors.messages.record_invalid

    此更新取代了控制器以設定地區。不會再出現轉譯錯誤。 (BZ#896251)

    * 部分地區設定未正確逸出特定 UI 內容以建立新角色。這會損毀某些地區設定的「儲存」按鈕。此更新可更正當地語系化 UI 內容的逸出行為。「儲存」按鈕現可用於建立新角色。(BZ#896252)

    * 缺少的圖示會阻止使用者刪除最近或已儲存的搜尋。此更新會新增圖示，因此使用者現在可以刪除最近或已儲存的搜尋。
    (BZ#896253)

    * Candlepin 0.7.8 元件中的效能問題導致訂閱回應能力隨著訂閱 CloudForms System Engine 的系統數量增加而降低。此錯字勘誤表會更新至 Candlepin 0.7.19，其可更正效能問題。(BZ#896261)

    * CloudForms System Engine 不會擷取 Extended Update Service (EUS) 權利。這會阻止使用者檢視和啟用 EUS 存放庫。此更新會修正資訊清單上傳和刪除程式碼，進而也更正了擷取權利的行為。System Engine 現在可以擷取 EUS 權利。(BZ#896265)

    * 功能表寬度問題造成當地語系化的 UI 無法呈現特定功能表項目。此更新可更正 System Engine UI 的樣式。Web UI 現在可以正確呈現功能表項目。(BZ#903702)

    如需有關此版本的進一步資訊，請參閱 CloudForms 1.1.2 版本資訊。版本資訊近期將可從 https://access.redhat.com/knowledge/docs/ 取得

    若要升級，請依照 CloudForms 安裝指南第 4.1 節中的升級指示進行。升級 CloudForms System Engine：

    https://access.redhat.com/knowledge/docs/en-US/CloudForms/1.1/html/Installation_Guide/index.html

    建議 CloudForms System Engine 的使用者升級至這些更新版套件。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 6：CloudForms System Engine 1.1.2 更新 (中等) (RHSA-2013:0547)

medium Nessus Plugin ID 210166

版本 1.1