現已提供適用於 Red Hat Enterprise Virtualization Manager 3 的更新版 rhevm-spice-client 套件，可修正兩個安全性問題和數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 會透過 SPICE 提供虛擬機器的存取權。這些 SPICE 用戶端套件提供 SPICE 用戶端和 usbclerk 服務，Windows 32 位元和 64 位元的作業系統均適用。

在 OpenSSL 處理內含所支援 EC 點格式延伸之 ServerHello 訊息的方式中發現爭用情形。惡意伺服器可能會利用此瑕疵造成使用 OpenSSL 的多執行緒 TLS/SSL 用戶端寫入至釋放的記憶體，進而導致用戶端當機或執行任意程式碼。
(CVE-2014-3509)

在 OpenSSL 處理分段交握封包的方式中發現瑕疵。攔截式攻擊者可能會利用此瑕疵強制使用 OpenSSL 的 TLS/SSL 伺服器使用 TLS 1.0，即使用戶端與伺服器都支援較新的通訊協定版本也是如此。(CVE-2014-3511)

此更新也可修正下列錯誤：

* 之前，在用戶端或來賓上執行的多種剪貼簿管理員有時會遺漏進行同步化，導致剪貼簿資料遺失和 SPICE 主控台凍結。現在，spice-gtk 已修補完成，剪貼簿同步化不會再造成 SPICE 主控台凍結。(BZ#1083489)

* 在此更新之前，以「Native Client」叫用方法和「在全螢幕中開啟」選項，從 Red Hat Enterprise Virtualization 使用者入口網站啟動 SPICE 主控台時，來賓虛擬機器的顯示方式不一定會總是設為符合用戶端的顯示器。執行此更新後，SPICE 主控台會在每個用戶端螢幕上正確顯示全螢幕來賓。(BZ#1076243)

* 從 Windows 用戶端的來賓機器中貼上文字時，Linux 和 Windows 用戶端之間的行為差異會造成傳送額外的 nul 字元。部分 Java 應用程式會顯示此隱藏字元。執行此更新後，文字字串中的額外 nul 字元將會移除，且不會再顯示其他無關的字元。(BZ#1090122)

* 之前，只要剪貼簿是　image/bmp 類型，且資料大小為 0，GTK+ 就會損毀。執行此更新後，系統會先檢查資料大小，即使剪貼簿是　image/bmp 類型，且資料大小為 0，GTK+ 也不會再損毀。(BZ#1090433)

* 使用者無法將只有修飾詞的按鍵組合註冊為快速鍵，若使用者為了釋出游標，而嘗試設定只有修飾詞的按鍵序列 (例如：「ctrl+alt」) 做為快速鍵，就會失敗，且使用者可以從視窗釋出游標。
透過此更新，嘗試註冊只有修飾詞的快速鍵時，其會回歸使用預設的 cursor-release 序列 (正好就是「ctrl+alt」)。(BZ#985319)

* 顯示器組態有時會使用過時的遠端檢視器視窗位置資訊做為依據，從而設定來賓顯示器。有時候，這會造成來賓顯示器在視窗重新調整大小時無預期地切換。透過此更新，遠端檢視器將一律使用最新的視窗位置來對齊顯示器，而非使用可能已過時的快取位置資訊。(BZ#1018182)

建議所有 rhevm-spice-client 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。

偵測

RHEL 6 : rhevm-spice-client (RHSA-2015:0197)

medium Nessus Plugin ID 85713

找不到變更記錄