Updated Satellite 6.1 packages that fix one security issue, add one enhancement, and fix several bugs are available for Satellite 6.1.7.

Red Hat Product Security has rated this update as having Moderate Security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat Satellite is a system management solution that allows organizations to configure and maintain their systems without the necessity to provide public Internet access to their servers or other client systems. It performs provisioning and configuration management of predefined standard operating environments.

A stored cross-site scripting (XSS) flaw was found in the smart class parameters/variables field. By sending a specially crafted request to Satellite, a remote, authenticated attacker could embed HTML content into the stored data, allowing them to inject malicious content into the web page that is used to view that data. (CVE-2015-7518)

This update also fixes the following bugs :

* New subscription rules for developer subscriptions caused manifest imports into Satellite to fail. The subscription engine has been updated to handle these new subscription rules correctly. (BZ#1301812)

* A heavy load on content synchronization caused tasks to appear as if they had not stopped. The content engine has been updated to handle these messages with varying amounts of load. (BZ#1300811)

* Deleted directories in the /var/lib/pulp/ directory caused errors related to 'missing symlinks' during content synchronization. The code has been updated to notice deleted directories, and recreate them as necessary. (BZ#1288855, BZ#1276911)

* The networking API returned a JSON output which did not contain the identifier of the interface. This data is critical for scripting, and has been added to the API response. (BZ#1282539)

* When provisioning against Red Hat Enterprise Virtualization (RHEV), the operating system information was not passed, causing provisioning to fail. The interface to RHEV has been updated to resolve this bug.
(BZ#1279631)

* Incremental updates initiated from the command line were failing with an 'ID not found' error. The command line interface has been patched to provide the correct ID, thus fixing this bug. (BZ#1259057)

* Satellite used a large number of inodes when publishing a content.
The internal file handling has been improved to reduce the number of symlinks and inodes required. (BZ#1244130)

* Provisioning on VMware with multiple NICs was not handling labels correctly. The interface to VMware has been improved to handle this situation correctly. (BZ#1197156)

* Previously, failed synchronization tasks on a Capsule which were not reported correctly, and appeared as successful in the web UI. The error handing logic has been improved to display the true state of the task. (BZ#1215838)

* Satellite synchronized duplicate packages with the same epoch, name, version, release, and architecture (ENVRA), but which were signed by different checksums. This caused issues for clients attempting to install from the repository. The code was updated to respect the primary metadata, and only download a single package. (BZ#1132659)

Users of Red Hat Satellite are advised to upgrade to these updated packages, which contain backported patches to correct these issues and add this enhancement.

1 つのセキュリティ問題を修正し、1 つの拡張機能を追加し、いくつかのバグを修正する更新済みの Satellite 6.1 パッケージが、Satellite 6.1.7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Satellite はシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの構成や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや構成管理も行います。

蓄積型クロスサイトスクリプティング（XSS）の欠陥がスマートクラスのパラメータ変数フィールドで見つかりました。特別に細工されたリクエストを Satellite に送信することにより、認証されたリモートの攻撃者が、保存データに HTML コンテンツを埋め込み、そのデータを表示するのに使用される Web ページに悪意のあるコンテンツを注入する可能性があります。（CVE-2015-7518）

この更新は以下のバグも修正します：

* 開発者サブスクリプション用の新規サブスクリプションルールにより、Satellite へのマニフェストインポートが失敗しました。サブスクリプションエンジンが更新されて、これらの新規サブスクリプションルールが正しく処理されるようになりました。（BZ#1301812）

* コンテンツ同期の重負荷により、タスクがあたかも停止していないかのようになりました。多様な量の負荷があるメッセージを処理するために、コンテンツエンジンが更新されました。（BZ#1300811)）

* /var/lib/pulp/ ディレクトリに中の削除済みディレクトリにより、コンテンツ同期中に「シンボリックリンク消失」に関係するエラーが発生しました。コードが更新され、ディレクトリの削除に気づいて、必要に応じてそれらを再作成するようになりました。（BZ#1288855、BZ#1276911）

* ネットワーキング API がインターフェイスの識別子を含まない JSON 出力を戻しました。このデータはスクリプティングに重要であるため、API 応答に追加されました。（BZ#1282539）

* Red Hat Enterprise Virtualization（RHEV）に対してプロビジョンする際には、オペレーティングシステムの情報は渡されないためプロビジョニングが失敗しました。RHEV へのインターフェイスが更新されて、このバグが解決しました。
（BZ#1279631）

* 増分アップデートをコマンドラインから開始すると、「ID not found（IDが見つかりません）」エラーで失敗しました。コマンドラインインターフェイスにパッチが当てられ正しい ID が与えられるために、このバグが修正されました。（BZ#1259057）

* Satellite は、コンテンツを発行する際に多数の inode を使用します。
内部ファイル処理が改善されて、必要なシンボリックリンクおよび inode の数が削減されました。（BZ#1244130）

* 複数の NIC がある VMware でのプロビジョニングで、ラベルを正しく処理していませんでした。VMware へのインターフェイスが改善されて、この状況を正しく処理するようになりました。（BZ#1197156）

* 以前は、Capsule での同期タスク失敗は、正しく報告されず、Web UI で成功と表示されていました。エラー処理ロジックが改善されて、タスクの真の状態が表示されるようになりました。（BZ#1215838）

* Satellite は、同じエポック、名前、バージョン、リリースおよびアーキテクチャ（ENVRA）があるが、異なるチェックサムで署名されている重複パッケージを同期しました。これは、クライアントがリポジトリからインストールしようとする問題を引き起こしました。このコードが更新されてプライマリメタデータに準拠し、単一パッケージだけをダウンロードするようになりました。（BZ#1132659）

Red Hat Satellite のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、この拡張機能を追加することが推奨されます。

更新后的 Satellite 6.1 程序包修复了一个安全问题、添加了一项增强并修复了多个缺陷，可用于 Satellite 6.1.7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Satellite 是一个系统管理解决方案，它使组织能够配置和维护其系统，而无需为自身服务器或其他客户端系统提供公共 Internet 访问。该解决方案可执行预定义标准操作环境的设置和配置管理。

在智能类参数/变量字段中发现一个存储的跨站脚本 (XSS) 缺陷。通过向 Satellite 发送特别构建的请求，经认证的远程攻击者可将 HTML 内容嵌入存储的数据，并可将恶意内容注入用于查看该数据的网页中。(CVE-2015-7518)

此更新还修复以下缺陷：

* 新的开发人员订阅规则造成指令清单导入 Satellite 失败。订阅引擎已更新，现在可以正确处理这些新订阅规则。(BZ#1301812)

* 内容同步负载过重，造成任务显示为尚未停止。内容引擎已更新，现在可以处理这些含有不同负载量的消息。(BZ#1300811)

* /var/lib/pulp/ 目录中删除的目录造成内容同步期间发生与“丢失符号链接”相关的错误。程序代码已更新，现在可以发现被删除的目录并视需要重新创建。(BZ#1288855、BZ#1276911)

* 网络 API 返回不包含接口标识符的 JSON 输出。此数据对于脚本处理非常重要，已添加到 API 响应中。(BZ#1282539)

* 针对 Red Hat Enterprise Virtualization (RHEV) 进行配置时，未传递操作系统信息，造成配置失败。RHEV 的接口已更新，修复了此缺陷。
(BZ#1279631)

* 通过命令行发起的增量更新因发生“找不到 ID”错误而失败。命令行接口已修复，提供了正确的 ID，修正了此缺陷。(BZ#1259057)

* 发布内容时 Satellite 使用大量 inode。
改善了内部文件处理，减少了所需的符号链接和 inode 数量。(BZ#1244130)

* 在含有多个 NIC 的 VMware 上配置时未正确处理标签。改善了 VMware 的接口，现在可以正确处理这种情况。(BZ#1197156)

* 之前无法正确报告 Capsule 上失败的同步任务，在 Web UI 中会显示为成功。改善了错误处理逻辑，现在可以显示正确的任务状态。(BZ#1215838)

* Satellite 同步拥有相同 epoch、名称、版本、版次和架构 (ENVRA)，但由不同校验和签名的的重复套件。这造成客户端尝试从存储库安装的问题。程序代码已更新，现在可以遵循主要元数据，且只下载一个程序包。(BZ#1132659)

建议 Red Hat Satellite 的用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了此增强。

現已提供適用於 Satellite 6.1.7 的更新版 Satellite 6.1 套件，其可修正一個安全性問題、新增一個增強功能，並修正數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Satellite 是一套系統管理解決方案，讓組織無須為其伺服器或其他用戶端系統提供公共網際網路存取，就可以設定和維護系統。可執行預先定義標準作業環境的佈建和組態管理。

在智慧類別參數/變數欄位中發現一個儲存跨網站指令碼 (XSS) 瑕疵。經過驗證的遠端攻擊者可傳送特製的要求給 Satellite，並在儲存的資料中嵌入 HTML 內容，從而在使用者用於瀏覽該資料的網頁中插入惡意內容。(CVE-2015-7518)

此更新也可修正下列錯誤：

* 適用開發人員訂閱的新訂閱規則造成將資訊清單匯入 Satellite 的作業失敗。訂閱引擎已更新，現可正確處理這些新訂閱規則。(BZ#1301812)

* 內容同步作業的負載過重，造成工作顯示為尚未停止。內容引擎已更新，現可處理這些含有不同負載量的訊息。(BZ#1300811)

* /var/lib/pulp/ 目錄中已刪除的目錄造成內容同步期間發生與「遺失符號連結」相關的錯誤。程式碼已更新，現可辨識已刪除的目錄並視需要重新建立。(BZ#1288855、BZ#1276911)

* 網路 API 傳回不包含介面識別碼的 JSON 輸出。此資料對指令碼來說很重要，且已新增至 API 回應。(BZ#1282539)

* 針對 Red Hat Enterprise Virtualization (RHEV) 進行佈建時，未傳送作業系統資訊，造成佈建失敗。RHEV 的介面已更新，解決了此錯誤。
(BZ#1279631)

* 從命令列起始的累加更新因發生「找不到 ID」錯誤而失敗。命令列介面已修補，提供了正確的 ID，因而修正了此錯誤。(BZ#1259057)

* 發佈內容時 Satellite 使用了大量 inode。
內部檔案處理功能已改善，降低了必要的符號連結和 inode 數量。(BZ#1244130)

* 用多個 NIC 在 VMware 上佈建時未正確處理標籤。VMware 的介面已改善，現可正確處理此情形。(BZ#1197156)

* 之前系統未正確報告 Capsule 上失敗的同步工作，且在 Web UI 中顯示為成功。錯誤處理邏輯已改善，現可顯示正確的工作狀態。(BZ#1215838)

* Satellite 同步了擁有相同 epoch、名稱、版本、版次和架構 (ENVRA)，但由不同總和檢查碼簽署的重複套件。這造成用戶端嘗試從存放庫安裝的問題。程式碼已更新，現可接受主要詮釋資料且只下載一個套件。(BZ#1132659)

建議 Red Hat Satellite 使用者升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這個增強功能。

ID	名稱	產品	系列	已發布	已更新	嚴重性
88746	RHEL 6 / 7 : Satellite 6.1.7 (RHSA-2016:0174)	Nessus	Red Hat Local Security Checks	2016/2/16	2019/10/24	medium
88746	RHEL 6 / 7：Satellite 6.1.7（RHSA-2016:0174）	Nessus	Red Hat Local Security Checks	2016/2/16	2019/10/24	medium
88746	RHEL 6 / 7：Satellite 6.1.7 (RHSA-2016:0174)	Nessus	Red Hat Local Security Checks	2016/2/16	2019/10/24	medium
88746	RHEL 6 / 7：Satellite 6.1.7 (RHSA-2016:0174)	Nessus	Red Hat Local Security Checks	2016/2/16	2019/10/24	medium

偵測

搜尋 Plugin

medium

medium

medium

medium