RHEL 5 / 6 : cobbler (RHSA-2012:1060)

high Nessus Plugin ID 64047

語系：

概要

遠端 Red Hat 主機缺少安全性更新。

說明

現已提供適用於 Red Hat Network Satellite 5.4 的更新版 cobbler 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Cobbler 是網路安裝伺服器。Cobbler 支援 PXE、虛擬化安裝以及現有 Linux 機器的重新安裝。

在 Cobbler 的電源管理 XML-RPC 方法中發現一個命令插入瑕疵。若經驗證的遠端使用者可透過 Cobbler XML-RPC API 執行 Cobbler 組態變更，則可利用此瑕疵，以 root 權限在 Red Hat Network Satellite 伺服器上執行任意程式碼。(CVE-2012-2395)

注意：Red Hat Network Satellite 使用特別使用者帳戶設定 Cobbler。依預設，只有此帳戶可以執行 Cobbler 組態變更，而該帳戶的認證只有 Satellite 主機的系統管理員可以存取。因此，受此問題影響的只有系統管理員允許其他使用者進行 Cobbler 組態變更的環境。

建議 Red Hat Network Satellite 5.4 使用者升級至此更新版 cobbler 套件，其中包含可更正此問題的反向移植修補程式。必須重新啟動 Red Hat Network Satellite (「/usr/sbin/rhn-satellite restart」)，此更新才會生效。