現已提供適用於 Red Hat Enterprise Linux 5 之 Red Hat Enterprise MRG 2.1 的更新版 Messaging 套件，可解決一個安全性問題、修正多個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise MRG (Messaging、Realtime 與 Grid) 是企業計算方面的新一代 IT 基礎結構。MRG 為企業客戶提供增進的效能、可靠性、互通性與更快的計算能力。

MRG Messaging 是針對 Linux 以 AMQP (進階訊息佇列通訊協定) 為基礎所發佈的高速可靠傳訊，這是企業傳訊的開放式通訊協定標準，可將任務重要的傳訊能力廣泛推廣為標準服務，並使企業傳訊能夠跨平台、程式設計語言及供應商互通。MRG Messaging 包含 AMQP 0-10 傳訊 Broker；適用於 C++、Java JMS 與 Python 的 AMQP 0-10 用戶端程式庫；另外還有持續性程式庫與管理工具。

據發現，在遠端使用者知道有效叢集使用者名稱的前提下，Qpid 接受任何密碼或 SASL 機制。這可能讓遠端攻擊者未經授權存取叢集，進而洩漏叢集訊息與內部 Qpid/MRG 組態。(CVE-2011-3620)

注意：如果您正使用 ACL，必須允許將叢集使用者名稱發佈至 qpid.cluster-credentials 交換。例如，如果在您的 ACL 檔案中，您的叢集使用者名稱是「foo」：

acl allow foo@QPID publish exchange name=qpid.cluster-credentials

CVE-2011-3620 修正變更了叢集初始化通訊協定。因此，必須將具有所有新版本 Broker 的叢集重新啟動，變更才會生效。如需詳細資料，請參閱下方。

這些更新版套件為 MRG 的 Messaging 元件提供數個增強功能與錯誤修正。因空間所限，無法在此公告中記錄所有這些變更。這些變更的相關文件近期將可從〈＜參照＞一節中的「技術提示」文件連結中取得。

建議 Red Hat Enterprise MRG 2.1 之 Messaging 功能的所有使用者皆升級至這些更新版套件，其可解決此問題，並新增在 Red Hat Enterprise MRG 2 技術提示中提到的增強功能。安裝更新版套件之後，透過對所有節點執行「service qpidd stop」，或對任何一個叢集節點執行「qpid-cluster --all-stop」，可停止叢集。停止之後，對所有節點以「service qpidd start」重新啟動叢集，更新才會生效。

偵測

RHEL 5：MRG (RHSA-2012:0529)

high Nessus Plugin ID 76643

找不到變更記錄