RHEL 6：rhevm-dwh 3.3.3 (RHSA-2014:0559)

low Nessus Plugin ID 79023

語系：

概要

遠端 Red Hat 主機缺少安全性更新。

說明

現已提供更新版 rhevm-dwh 套件，可修正一個安全性問題和兩個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 資料倉儲套件提供了 Extract-Transform-Load (ETL) 處理程序和資料庫指令碼，以建立歷程記錄資料庫 API。它也為管理及監控提供了 SQL BI 報告建立。

據發現，ovirt-engine-dwh 設定指令碼會在任何人皆可讀取的檔案中，以純文字記錄歷程記錄資料庫的密碼。在 Red Hat Enterprise Virtualization Manager 伺服器上具有本機使用者帳戶的攻擊者可利用此瑕疵，存取、讀取和修改報告資料庫。(CVE-2014-0202)

注意：套用此公告提供的更新並不會使任何現有的記錄檔遭到修改。建議您手動搜尋現有的記錄檔，並將出現的所有純文字密碼移除。

此問題是由 Red Hat 所發現。

此更新也可修正下列錯誤：

* 之前，資料倉儲資料庫的唯讀使用者和自訂使用者會在升級資料庫時，遺失對資料庫中檢視的存取權。這是由升級資料庫時重新產生檢視，而這些檢視的權限未套用至新產生的檢視所導致。現在，當升級資料庫時，會保留使用者權限。(BZ#1078129)

* 之前，如果在執行 ovirt-engine-dwh-setup 命令之前已手動編輯 pg_hba.conf 檔案，該命令在某些情況下會失敗。這是由檢查與 'local' 對應之行上值之間準確空格數的設定程序所導致。現在，檢查該行中值的邏輯已經修訂，使設定程序可正確讀取所有值，而不管空格數為何。(BZ#1084760)

建議所有 rhevm-dwh 使用者皆升級至此更新版套件，其可更正這些問題。