An update is now available for Red Hat Mobile Application Platform 4.5.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat Mobile Application Platform (RHMAP) 4.5 is delivered as a set of Docker-formatted container images.

In addition to the images, several components are delivered as RPMs :

* OpenShift templates used to deploy an RHMAP Core and MBaaS

* The fh-system-dump-tool allows you to analyze all the projects running in an OpenShift cluster and reports any problems discovered.
For more information, see the Operations Guide

The following RPMs are included in the RHMAP container images, and are provided here only for completeness :

* The Nagios server, which is used to monitor the status of RHMAP components, is installed inside the Nagios container image.

This release serves as an update for Red Hat Mobile Application Platform 4.4.3. It includes bug fixes and enhancements. Refer to the Red Hat Mobile Application Platform 4.5.0 Release Notes for information about the most significant bug fixes and enhancements included in this release.

Nagios is a program that monitors hosts and services on your network, and has the ability to send email or page alerts when a problem arises or is resolved.

Security Fix(es) :

* A shell command injection flaw related to the handling of 'ssh' URLs has been discovered in Git. An attacker could use this flaw to execute shell commands with the privileges of the user running the Git client, for example, when performing a 'clone' action on a malicious repository or a legitimate repository containing a malicious commit.
(CVE-2017-1000117)

* A flaw was discovered in the file editor of millicore which allows files to be executed as well as created. An attacker could use this flaw to compromise other users or teams projects stored in source control management of the RHMAP Core installation. (CVE-2017-7552)

* The external_request api call in App Studio (millicore) allows server side request forgery (SSRF). An attacker could use this flaw to probe the network internal resources and access restricted endpoints.
(CVE-2017-7553)

* A flaw was found where the App Studio component of RHMAP 4.4 executes JavaScript provided by a user. An attacker could use this flaw to execute a stored XSS attack on an application administrator using App Studio. (CVE-2017-7554)

Red Hat would like to thank Tomas Rzepka for reporting CVE-2017-7552, CVE-2017-7553 and CVE-2017-7554.

Red Hat Mobile Application Platform 4.5の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Mobile Application Platform（RHMAP）4.5は、Docker形式のコンテナイメージのセットとして提供されています。イメージに加えて、いくつかのコンポーネントがRPMとして提供されています：* RHMAP CoreとMBaaSのデプロイに使用されるOpenShiftテンプレート*。fh-system-dump-toolによって、OpenShiftクラスターで実行されているすべてのプロジェクトが分析できるようになり、発見された問題が報告されます。詳細については、『操作ガイド』を参照してください。RHMAPコンテナイメージには以下のRPMが含まれており、念のためここに記載します：* RHMAPコンポーネントのステータスを監視するために使用されるNagiosサーバーが、Nagiosコンテナイメージにインストールされています。このリリースはRed Hat Mobile Application Platform 4.4.3の更新プログラムとして機能します。これにはバグの修正と拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat Mobile Application Platform 4.5.0リリースノート』を参照してください。Nagiosはネットワーク上のホストとサービスを監視するプログラムで、問題が発生したときや解決されたときに電子メールまたはページアラートを送信する機能を備えています。セキュリティ修正プログラム：* 「ssh」URLの処理に関連するシェルコマンドインジェクションの欠陥がGitで発見されました。攻撃者はこの欠陥を利用して、Gitクライアントを実行しているユーザーの権限でシェルコマンドを実行する可能性があります。たとえば、悪意のあるリポジトリまたは悪意のあるコミットが含まれる正当なリポジトリで「クローン」アクションを実行するときなどです。（CVE-2017-1000117）*ミリコアのファイルエディターに欠陥が発見され、ファイルが作成され実行される可能性があります。攻撃者がこの欠陥を利用して、RHMAP Coreインストールのソース制御管理に保存されている他のユーザーまたはチームのプロジェクトを危険にさらす可能性があります。（CVE-2017-7552）* App Studioでのexternal_request API呼び出し（ミリコア）では、サーバーサイドリクエストフォージェリ（SSRF）が可能です。攻撃者がこの欠陥を利用してネットワークの内部リソースを調査し、制限されたエンドポイントにアクセスする可能性があります。（CVE-2017-7553）* RHMAP 4.4のApp Studioコンポーネントがユーザーから提供されたJavaScriptを実行するという欠陥が見つかりました。攻撃者がこの欠陥を利用し、App Studioを使用しているアプリケーション管理者に対して格納型クロスサイトスクリプティング攻撃を実行する可能性があります。（CVE-2017-7554）Red Hatは、 CVE-2017-7552、CVE-2017-7553、CVE-2017-7554を報告してくれたTomas Rzepka氏に感謝の意を表します。

現已提供適用於 Red Hat Mobile Application Platform 4.5 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat Mobile Application Platform (RHMAP) 4.5 是以一組 Docker-formatted 容器影像的形式提供。除了影像之外，還有幾個元件以 RPM 的形式提供：* 用於部署 RHMAP Core 和 MBaaS 的 OpenShift 範本 * fh-system-dump-tool 可供您分析在 OpenShift 叢集中執行的所有專案，並呈報任何發現的問題。如需詳細資訊，請參閱《操作指南》 下列 RPM 內含在 RHMAP 容器影像中，僅為完整性而於此處提供：* 用於監控 RHMAP 元件狀態的 Nagios 伺服器已安裝在 Nagios 容器影像內。此版本是 Red Hat Mobile Application Platform 4.4.3 的更新。其中包含錯誤修正和增強功能。如需此版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat Mobile Application Platform 4.5.0「版本資訊」。Nagios 是一種程式，可監控您網路中的主機與服務，且可在發生問題或解決問題時，傳送電子郵件或頁面警示。安全性修正：* 在 Git 中發現與處理「ssh」URL 相關的殼層命令注入缺陷。攻擊者可利用此缺陷，使用執行 Git 用戶端的使用者權限來執行殼層命令，例如在惡意存放庫上，或在包含惡意認可的合法存放庫上執行「複製」動作時。(CVE-2017-1000117) * 在 millicore 的檔案編輯器中發現可供他人執行及建立檔案的缺陷。攻擊者可利用此缺陷入侵儲存在 RHMAP Core 安裝來源控制管理中的其他使用者或團隊專案。(CVE-2017-7552) * App Studio (millicore) 中的 external_request api 呼叫執行可供伺服端要求偽造 (SSRF)。攻擊者可利用此缺陷探測網路內部資源，並存取受限制的端點。(CVE-2017-7553) * 發現一個 RHMAP 4.4 的 App Studio 元件執行使用者所提供 JavaScript 的缺陷。攻擊者可利用此缺陷對使用 App Studio 的應用程式管理員發動已儲存 XSS 攻擊。(CVE-2017-7554) Red Hat 感謝 Tomas Rzepka 報告 CVE-2017-7552、CVE-2017-7553 和 CVE-2017-7554。

有个更新现可用于 Red Hat Mobile Application Platform 4.5。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Mobile Application Platform (RHMAP) 4.5 以一组 Docker-formatted 容器图像的形式提供。除了图像之外，还有几个组件以 RPM 的形式提供：* 用于部署 RHMAP Core 和 MBaaS 的 OpenShift 模板 * fh-system-dump-tool 允许分析在 OpenShift 群集中运行的所有项目，并报告任何发现的问题。如需详细信息，请参阅《操作指南》 下列 RPM 内含在 RHMAP 容器图像中，仅为完整性而于此处提供：* 用于监控 RHMAP 组件状态的 Nagios 服务器已安装在 Nagios 容器图像内。此版本作为 Red Hat Mobile Application Platform 4.4.3 的更新。它包含缺陷修复和增强功能。请参阅 Red Hat Mobile Application Platform 4.5.0 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。Nagios 是一款监控网络上主机和服务的程序，可在出现问题或解决问题时，发送电子邮件或页面警报。安全修复：* Git 中发现与 ‘ssh’ URL 处理有关的 shell 命令注入缺陷。攻击者可利用此缺陷，以 Git 客户端运行用户的权限执行 shell 命令，例如，在恶意存储库或者含恶意提交的合法存储库中执行“克隆”操作。(CVE-2017-1000117) * 在 millicore 的文件编辑器中发现允许执行及建立文件的缺陷。攻击者可利用此缺陷入侵储存在 RHMAP Core 安装源控制管理中的其他用户或团队项目。(CVE-2017-7552) * App Studio (millicore) 中的 external_request api 调用允许服务器端请求伪造 (SSRF)。攻击者可利用此缺陷探测网络内部资源，并访问受限制的端点。(CVE-2017-7553) * 发现一个 RHMAP 4.4 的 App Studio 组件执行用户所提供 JavaScript 的缺陷。攻击者可利用此缺陷对使用 App Studio 的应用程序管理员执行已存储的 XSS 攻击。(CVE-2017-7554) Red Hat 在此感谢 Tomas Rzepka 报告 CVE-2017-7552、CVE-2017-7553 和 CVE-2017-7554。

ID	名稱	產品	系列	已發布	已更新	嚴重性
103349	RHEL 7 : Mobile Application Platform (RHSA-2017:2674)	Nessus	Red Hat Local Security Checks	2017/9/20	2019/10/24	critical
103349	RHEL 7：Mobile Application Platform（RHSA-2017:2674）	Nessus	Red Hat Local Security Checks	2017/9/20	2019/10/24	critical
103349	RHEL 7：Mobile Application Platform (RHSA-2017:2674)	Nessus	Red Hat Local Security Checks	2017/9/20	2019/10/24	critical
103349	RHEL 7：Mobile Application Platform (RHSA-2017:2674)	Nessus	Red Hat Local Security Checks	2017/9/20	2019/10/24	critical

偵測

搜尋 Plugin

critical

critical

critical

critical