Updated rhevm packages that fix two security issues and various bugs are now available.

The Red Hat Security Response Team has rated this update as having moderate security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

The Red Hat Enterprise Virtualization Manager is a centralized management platform that allows system administrators to view and manage virtual machines. The Red Hat Enterprise Virtualization Manager provides a comprehensive range of features including search capabilities, resource management, live migrations, and virtual infrastructure provisioning. The Manager is a JBoss Application Server application that provides several interfaces through which the virtual environment can be accessed and interacted with, including an Administration Portal, a User Portal, and a Representational State Transfer (REST) Application Programming Interface (API).

It was discovered that running the domain management tool with the validate action ('rhevm-manage-domains -action=validate') logged administrative passwords to a world-readable log file. A local attacker could use this flaw to gain control of systems that are managed by Red Hat Enterprise Virtualization Manager. (CVE-2012-6115)

A flaw was found in the way the MoveDisk command checked permissions on the target storage domain. A privileged user (a storage admin of a storage domain) could use this flaw to exhaust all available free space in another storage domain they would otherwise not have access to. (CVE-2013-0168)

The CVE-2012-6115 issue was discovered by Andrew Cathrow of Red Hat.
The CVE-2013-0168 issue was discovered by Ondrej Machacek of Red Hat.

Previously, upgrading from Red Hat Enterprise Virtualization Manager 3.0 to 3.1 was not formally supported by Red Hat. This update fixes a number of known issues with the upgrade process. As a result, upgrading from Red Hat Enterprise Virtualization Manager 3.0 to 3.1 is now supported.

For more information on upgrading to Red Hat Enterprise Virtualization Manager 3.1, consult the Installation Guide :

https://access.redhat.com/knowledge/docs/en-US/ Red_Hat_Enterprise_Virtualization/3.1/html/Installation_Guide/ chap-Upgrading_to_Red_Hat_Enterprise_Virtualization_3.1.html

Additional tips and considerations to take into account are also available in the Red Hat Knowledgebase :

https://access.redhat.com/knowledge/articles/269333

Information on the bugs fixed in this update is available in the Technical Notes document :

https://access.redhat.com/knowledge/docs/en-US/ Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/ chap-RHSA-2013-0211.html

All Red Hat Enterprise Virtualization Manager administrators are advised to install these updated packages, which fix these issues.

2 つのセキュリティの問題とさまざまなバグを修正する更新済みの rhevm パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise Virtualization Manager は、システム管理者が仮想マシンの閲覧および管理を行うことができる集中管理プラットフォームです。Red Hat Enterprise Virtualization Manager は、検索機能、リソース管理、ライブ移行、仮想インフラストラクチャプロビジョニングを含む包括的な機能を提供します。このマネージャーは JBoss Application Server アプリケーションであり、管理ポータル、ユーザーポータル、および Representational State Transfer（REST）アプリケーションプログラミングインターフェイス（API）を含む、仮想環境へのアクセスおよび相互作用が可能な複数のインターフェイスを提供します。

検証アクション付きでドメイン管理ツールを実行すると（「rhevm-manage-domains -action=validate」）、管理者パスワードが誰でも読めるログファイルに記録されることが判明しました。ローカルの攻撃者がこの欠陥を利用して、Red Hat Enterprise Virtualization Manager により管理されているシステムの制御を得る可能性があります。（CVE-2012-6115）

MoveDisk コマンドが、ターゲットストレージドメイン上の権限をチェックする方法に欠陥が見つかりました。権限のあるユーザー（ストレージドメインのストレージ管理者）が、この欠陥を利用して、そうでなければアクセスできない、別のストレージドメインの中の使用可能なすべての空き領域を消耗させる可能性があります。（CVE-2013-0168）

CVE-2012-6115 の問題は、Red Hat の Andrew Cathrow 氏により発見されました。
CVE-2013-0168 の問題は、Red Hat の Ondrej Machacek 氏により発見しました。

以前には、Red Hat Enterprise Virtualization Manager 3.0 から 3.1 へのアップグレードは、公式には Red Hat からサポートされていませんでした。この更新により、アップグレードプロセスで、多数の既知の問題が修正されます。結果として、Red Hat Enterprise Virtualization Manager 3.0 から 3.1 へのアップグレードは今ではサポートされています。

Red Hat Enterprise Virtualization Manager 3.1 へのアップグレードに関する詳細情報については、「インストールガイド」を参照してください。

https://access.redhat.com/knowledge/docs/en-US/ Red_Hat_Enterprise_Virtualization/3.1/html/Installation_Guide/ chap-Upgrading_to_Red_Hat_Enterprise_Virtualization_3.1.html

考慮すべき追加のヒントおよび考慮事項も、Red Hat Knowledge Base に掲載されています：

https://access.redhat.com/knowledge/articles/269333

この更新で修正されたバグの情報は、「テクニカルノート」文書に記載されています：

https://access.redhat.com/knowledge/docs/en-US/ Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/ chap-RHSA-2013-0211.html

Red Hat Enterprise Virtualization Manager の全ユーザーは、これらの更新パッケージをインストールして、これらの問題を修正することが推奨されます。

現已提供更新版 rhevm 套件，可修正兩個安全性問題和多種錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 是一種集中式管理平台，可讓系統管理員檢視和管理虛擬機器。Red Hat Enterprise Virtualization Manager 提供完整的功能，包括：搜尋功能、資源管理、即時移轉，以及虛擬基礎結構佈建等等。Manager 是一種 JBoss Application Server 應用程式，提供多種介面，可讓使用者透過這些介面存取虛擬環境並與之互動，包括：管理入口網站、使用者入口網站，以及具象狀態傳輸 (REST) 應用程式開發介面 (API)。

據發現，若使用驗證動作 (「rhevm-manage-domains -action=validate」) 執行網域管理工具，則會將系統管理密碼記錄到任何人皆可讀取的記錄檔中。本機攻擊者可利用此瑕疵取得 Red Hat Enterprise Virtualization Manager 管理的系統控制權。(CVE-2012-6115)

在　MoveDisk 命令檢查目標儲存網域權限的方式中發現一個瑕疵。有權限的使用者 (儲存網域的儲存系統管理員) 可利用此瑕疵，針對他們本來無法存取的其他儲存網域，耗盡所有可用空間。(CVE-2013-0168)

CVE-2012-6115 問題是由 Red Hat 的 Andrew Cathrow 所發現。
CVE-2013-0168 問題是由 Red Hat 的 Ondrej Machacek 所發現。

之前，Red Hat 未正式支援從 Red Hat Enterprise Virtualization Manager 3.0 升級至 3.1 版。此更新修正了多個在升級處理程序中會遇到的已知問題。因此現已支援從 Red Hat Enterprise Virtualization Manager 3.0 升級至 3.1 版。

如需有關升級至 Red Hat Enterprise Virtualization Manager 3.1 的詳細資訊，請參閱《安裝指南》：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Enterprise_Virtualization/3.1/html/Installation_Guide/chap-Upgrading_to_Red_Hat_Enterprise_Virtualization_3.1.html

其他提示和考量因素也已發佈至 Red Hat 知識庫以供參閱：

https://access.redhat.com/knowledge/articles/269333

如需此更新中修正的錯誤相關資訊，請參閱技術提示文件：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/chap-RHSA-2013-0211.html

建議所有 Red Hat Enterprise Virtualization Manager 系統管理員皆安裝這些更新版套件，其可修正這些問題。

更新后的 rhevm 程序包修复了两个安全问题和各种缺陷，现在可用。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 是集中式管理平台，允许系统管理员查看和管理虚拟机。Red Hat Enterprise Virtualization Manager 提供各种全面的功能，包括搜索功能、资源管理、实时迁移和虚拟基础架构部署。Manager 是 JBoss Application Server 应用程序，该用应程序提供了多个界面，可通过这些界面访问虚拟环境并与之交互，其中包括管理门户、用户门户以及表述性状态转移 (REST) 应用程序编程接口 (API)。

发现通过验证操作（“rhevm-manage-domains -action=validate”）来运行域管理工具会将管理密码记录到一个全局可读的日志文件。本地攻击者可使用此缺陷来获得对 Red Hat Enterprise Virtualization Manager 管理的系统的控制。(CVE-2012-6115)

在 MoveDisk 命令对目标存储域上的权限进行检查的方式中发现一个缺陷。特权用户（存储域的存储管理员）可使用此缺陷来耗尽他们本无权访问的其他存储域中的所有可用空间。(CVE-2013-0168)

CVE-2012-6115 问题的发现者为 Red Hat 的 Andrew Cathrow。
CVE-2013-0168 问题的发现者为 Red Hat 的 Ondrej Machacek。

之前，Red Hat 不正式支持从 Red Hat Enterprise Virtualization Manager 3.0 升级到 3.1。此更新修复升级流程的许多已知问题。因此，现在支持从 Red Hat Enterprise Virtualization Manager 3.0 升级到 3.1。

有关升级到 Red Hat Enterprise Virtualization Manager 3.1 的更多信息，请参阅安装指南：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Enterprise_Virtualization/3.1/html/Installation_Guide/chap-Upgrading_to_Red_Hat_Enterprise_Virtualization_3.1.html

还可在 Red Hat 知识库中了解更多提示和要考虑的注意事项：

https://access.redhat.com/knowledge/articles/269333

可在技术札记文档中了解关于次更新中修复的缺陷的信息：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/chap-RHSA-2013-0211.html

建议所有 Red Hat Enterprise Virtualization Manager 管理员安装这些更新后的程序包，其中修复了这些问题。

ID	名稱	產品	系列	已發布	已更新	嚴重性
78948	RHEL 6 : rhevm 3.1.2 (RHSA-2013:0211)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78948	RHEL 6：rhevm 3.1.2（RHSA-2013:0211）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78948	RHEL 6：rhevm 3.1.2 (RHSA-2013:0211)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78948	RHEL 6：rhevm 3.1.2 (RHSA-2013:0211)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium