現已提供適用於 Red Hat Subscription Asset Manager 的更新版 candlepin 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Candlepin 是一種開放原始碼的權利管理系統。此系統可追蹤擁有者已訂閱的產品，並允許擁有者根據可設定的商務規則使用訂閱。

據發現，若未在組態檔中進行任何設定，Candlepin 將預設為啟用極弱的驗證配置。(CVE-2013-6439)

此問題是由 Red Hat 的 Adrian Likins 所發現。

注意：Subscription Asset Manager 1.2 和 1.3 提供的組態檔已停用這種不安全的驗證模式，不過，若使用者是從 Subscription Asset Manager 1.1 或更舊版本升級，且未在 Candlepin 組態中新增 'candlepin.auth.trusted.enable = false'，便可能會受到此問題的影響。

無法升級的 Subscription Asset Manager 1.0 或 1.1 使用者應新增下列組態到 '/etc/candlepin/candlepin.conf'：

candlepin.auth.trusted.enable = false candlepin.auth.trusted.enabled = false

無法升級的 Subscription Asset Manager 1.2 或 1.3 使用者則僅需要新增：

candlepin.auth.trusted.enable = false

除非特別在組態中啟用，否則安裝此升級即可停用不安全的驗證配置。

建議 Red Hat Subscription Asset Manager 的使用者升級至這些更新版套件，其可更正此問題。必須重新啟動 Candlepin，此更新才會生效。

偵測

RHEL 6：Subscription Asset Manager 中的 candlepin (RHSA-2013:1863)

high Nessus Plugin ID 76187

找不到變更記錄