RHEL 6 : rhevm-reports 3.3.3 (RHSA-2014:0558)

low Nessus Plugin ID 79022

語系：

概要

遠端 Red Hat 主機缺少安全性更新。

說明

現已提供更新版 rhevm-reports 套件，可修正三個安全性問題和一個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization 報告，套件提供了一組預先設定的報告和儀表板，可讓您監控系統。報告模組是以 JasperReports 和 JasperServer 為基礎，也可用於建立特定報告。

據發現，ovirt-engine-reports 設定指令碼會在任何人皆可讀取的檔案中，以純文字記錄報告資料庫的密碼。在 Red Hat Enterprise Virtualization Manager 伺服器上具有本機使用者帳戶的攻擊者可利用此瑕疵，存取、讀取和修改報告資料庫。(CVE-2014-0199)

注意：套用此公告提供的更新並不會使任何現有的記錄檔遭到修改。建議您手動搜尋現有的記錄檔，並將出現的所有純文字密碼移除。

據發現，Red Hat Enterprise Virtualization Manager 報告資料來源組態檔 (js-jboss7-ds.xml) 為任何人皆可讀取。在 Red Hat Enterprise Virtualization Manager 伺服器上具有本機使用者帳戶的攻擊者可利用此瑕疵，存取、讀取和修改報告資料庫。(CVE-2014-0200)

據發現，有多個 ovirt-engine-reports 組態檔為任何人皆可讀取。在 Red Hat Enterprise Virtualization Manager 伺服器上具有本機使用者帳戶的攻擊者可利用此瑕疵，存取各種潛在敏感資訊。(CVE-2014-0201)

這些問題是由 Red Hat 所發現。

此更新也可修正下列錯誤：

* 先前，若 pg_hba.conf 檔案中的預設行距遭到手動修改，則 rhevm-reports-setup 會執行失敗。現在，命令不會檢查檔案中的確切行距，因此設定可順利完成。
(BZ#1085374)

建議所有 rhevm-reports 使用者皆升級至此更新版套件，其可更正這些問題。