1 つのセキュリティ問題を修正する更新済みの resteasy のパッケージが、Red Hat Enterprise Linux 4、5、および 6 用の JBoss Enterprise Application Platform 5.1.2 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

RESTEasy は、RESTful Web サービスと RESTful Java アプリケーションを構築できるように、さまざまなフレームワークを提供します。

RESTEasy が XML 外部エンティティ（XXE）攻撃に対して脆弱であることが判明しました。リモートの攻撃者が、外部 XML エンティティを含むリクエストを RESTEasy エンドポイントに送信した場合、このエンティティが解決されます。これにより、攻撃者が、アプリケーションサーバーを実行するユーザーがアクセスできるファイルを読み取る可能性があります。この欠陥は、DOM（ドキュメントオブジェクトモデル）ドキュメントおよび JAXB（XML バインディング向け Java アーキテクチャ）の入力に影響を与えていました。(CVE-2012-0818)

注：デフォルトでは CVE-2012-0818 の修正は有効化されていません。この更新は、RESTEasy のエンティティ拡張を無効にする新しい構成オプションを追加します。サーバーのアプリケーションが RESTEasy XML エンドポイントを露出している場合、resteasy.document.expand.entity.references 構成スニペットを web.xml ファイルに追加し、RESTEasy でのエンティティ拡張を無効にする必要があります。詳細については、 Red Hat Bugzilla バグ 785631 を参照してください。

警告：この更新を適用する前に、その他すべてのカスタマイズした構成ファイルとともに、 JBoss Enterprise Application Platform「jboss-as/server/[PROFILE]/deploy/」ディレクトリのバックアップを行ってください。

Red Hat Enterprise Linux 4、5、6 上の JBoss Enterprise Application Platform 5.1.2 のユーザーは、これらの更新済みのパッケージにアップグレードし、この問題を修正することが推奨されています。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

The remote Redhat Enterprise Linux 5 / 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2012:1059 advisory.

  - RESTEasy: XML eXternal Entity (XXE) flaw (CVE-2011-5245, CVE-2012-0818)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

更新后的 resteasy 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 4、5 和 6 的 JBoss Enterprise Application Platform 5.1.2。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

RESTEasy 提供多种框架以帮助您构建 RESTful Web 服务和 RESTful Java 应用程序。

已发现 RESTEasy 容易遭受 XML 外部实体 (XXE) 攻击。如果远程攻击者向 RESTEasy 端点提交包含外部 XML 实体的请求，将会解析该实体，从而允许攻击者读取运行应用程序服务器的用户可访问的文件。此缺陷影响 DOM（文档对象模型）文档和 JAXB (Java Architecture for XML Binding) 输入。(CVE-2012-0818)

注意：默认未启用针对 CVE-2012-0818 的补丁。此更新添加了一个新的配置选项，以在 RESTEasy 中禁用实体扩展。如果服务器上的应用程序暴露 RESTEasy XML 端点，必须将 resteasy.document.expand.entity.references 配置 snippet 添加到其 web.xml 文件以禁用 RESTEasy 中的实体扩展。有关详细信息，请参阅 Red Hat Bugzilla 缺陷 785631。

警告：应用此更新之前，请备份 JBoss Enterprise Application Platform 的“jboss-as/server/[PROFILE]/deploy/”目录，以及所有其他自定义配置文件。

Red Hat Enterprise Linux 4、5 和 6 中的 JBoss Enterprise Application Platform 5.1.2 用户应升级这些更新后的程序包，其中修正了此问题。必须重新启动 JBoss 服务器进程以使此更新生效。

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 之 JBoss Enterprise Application Platform 5.1.2 的更新版 resteasy 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

RESTEasy 提供多種架構，協助您構建 RESTful Web 服務和 RESTful Java 應用程式。

據發現，RESTEasy 容易遭受 XML 外部實體 (XXE) 攻擊。如果遠端攻擊者提交一個包含外部 XML 實體的要求給 RESTEasy 端點，將會解析該實體，進而允許攻擊者讀取執行應用程式伺服器之使用者可存取的檔案。此瑕疵影響 DOM (文件物件模型) 文件與 JAXB (Java XML 繫結架構) 輸入。(CVE-2012-0818)

注意：CVE-2012-0818 的修正預設為不啟用。此更新可新增一個新的組態選項，以停用 RESTEasy 中的實體擴充。如果伺服器上的應用程式公開 RESTEasy XML 端點，resteasy.document.expand.entity.references 組態程式碼片段必須新增至其 web.xml 檔案，以停用 RESTEasy 中的實體擴充。如需詳細資訊，請參閱 Red Hat Bugzilla 錯誤 785631。

警告：套用此更新之前，請先備份 JBoss Enterprise Application Platform 的‘jboss-as/server/[PROFILE]/deploy/’目錄，以及所有其他自訂組態檔。

在 Red Hat Enterprise Linux 4、5 和 6 中使用 JBoss Enterprise Application Platform 5.1.2 的使用者應升級至這些更新版套件，以更正此問題。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Updated rhevm packages that fix one security issue and various bugs are now available.

The Red Hat Security Response Team has rated this update as having moderate security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

Red Hat Enterprise Virtualization Manager is a visual tool for centrally managing collections of virtual machines running Red Hat Enterprise Linux and Microsoft Windows. These packages also include the Red Hat Enterprise Virtualization Manager REST (Representational State Transfer) API, a set of scriptable commands that give administrators the ability to perform queries and operations on Red Hat Enterprise Virtualization Manager.

It was found that RESTEasy was vulnerable to XML External Entity (XXE) attacks. If a remote attacker who is able to access the Red Hat Enterprise Virtualization Manager REST API submitted a request containing an external XML entity to a RESTEasy endpoint, the entity would be resolved, allowing the attacker to read files accessible to the user running the application server. This flaw affected DOM (Document Object Model) Document and JAXB (Java Architecture for XML Binding) input. (CVE-2012-0818)

This update also fixes the following bugs :

* Previously the REST API was ignoring the 'Accept' header. This made it impossible to retrieve detailed information about specific sub-collections, including hosts and disks. The REST API has been updated and now processes the 'Accept' header as originally intended.
(BZ#771369)

* The 'start_time' Virtual Machine property was previously always set.
This meant that even Virtual Machines that were stopped, had a value for 'start_time'. An update has been made to ensure that the 'start_time' property is only set when the Virtual Machine has been started, and is running. (BZ#772975)

* The 'rhevm-setup' script previously only ran successfully on systems with their locale set to 'en_US.UTF-8', 'en_US.utf-8', or 'en_US.utf8'. The script has since been updated to also run successfully in additional locales, including 'ja_JP.UTF-8'.
(BZ#784860)

* The REST API did not previously validate that all required parameters were provided when enabling power management. The response code returned would also incorrectly indicate the operation had succeeded where mandatory parameters were not supplied. An update has been made to ensure that the power management parameters are validated correctly. (BZ#785744)

* Previously no warning or error was issued when the amount of free disk space on a host was low. When no free disk space remained on the host it would become non-responsive with no prior warning. An update has been made to report a warning in the audit log when a host's free disk space is less than 1000 MB, and an error when a host's free disk space is less than 500 MB. (BZ#786132)

* When importing Virtual Machines no notification was provided if the MAC address of the network interface card clashed with that of an existing Virtual Machine. Now when this occurs a message is printed to the audit log, highlighting the need for manual intervention.
(BZ#795416)

* Previously it was not possible to set more, or less, than one value for SpiceSecureChannels using the rhevm-config tool. This meant it was not possible to encrypt all SPICE channels. The rhevm-config tool has been updated and it is now possible to encrypt all SPICE channels, by adding them to the SpiceSecureChannels configuration key. (BZ#784012)

All Red Hat Enterprise Virtualization users are advised to upgrade to these updated packages, which address this vulnerability and fix these bugs. Refer to the Solution section for information about installing this update.

Updated Red Hat Storage Console packages that fix one security issue, various bugs, and add enhancements are now available for Red Hat Storage Server 2.1.

The Red Hat Security Response Team has rated this update as having moderate security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

Red Hat Storage Console (RHS-C) is a powerful and simple web based Graphical User Interface for managing a Red Hat Storage 2.1 environment. This feature is provided as a Technology Preview, and is currently not supported under Red Hat Storage subscription services.
Refer to the following for more information about Technology Previews:
https://access.redhat.com/support/offerings/techpreview/

It was found that RESTEasy was vulnerable to XML External Entity (XXE) attacks. If a remote attacker who is able to access the Red Hat Storage Console REST API submitted a request containing an external XML entity to a RESTEasy endpoint, the entity would be resolved, allowing the attacker to read files accessible to the user running the application server. This flaw affected DOM (Document Object Model) Document and JAXB (Java Architecture for XML Binding) input.
(CVE-2012-0818)

This update also fixes the following bugs :

* A new server could not be added to a cluster if the required packages were not installed on the server. Now, the administrator can add a server to a cluster which will automatically install the required packages, if missing. (BZ#850431)

* Previously, the rhs-log-collector tool did not collect GlusterFS related logs. (BZ#855271)

* Previously, it was not possible for rhsc-setup to complete successfully on systems that have SELinux in disabled mode.
(BZ#841342)

* The 'Add Brick' button in the 'Add Bricks' pop up is now placed next to the 'Brick Directory' field for a better UI experience. (BZ#863929)

* The UUID of the volume was not visible. Now, a new field is added to the 'Summary' sub-tab of the 'Volumes' tab to display the UUIDs.
(BZ#887806)

* The web console was not accessible after a server reboot. The setup mechanism has been modified to ensure the web console is accessible after a server reboot. (BZ#838284)

This update also adds the following enhancements :

* Previously, to import an existing storage cluster into the Red Hat Storage Console the hosts were added one by one. Now, a new feature has been added that allows users to import an existing storage cluster. The new Cluster Creation window has an option to import an existing storage cluster. If IP_Address or the hostname and password of one of the hosts of the cluster is entered, a list containing all the hosts of the cluster is displayed and the same can be added to the Console. The volumes which are part of the cluster also get imported.
(BZ#850438)

* The command line was required to enable a volume to use CIFS. Now, you can enable or disable the export of a volume with the new 'CIFS' checkbox in the 'Create Volume' window. (BZ#850452)

* The new Red Hat Support plug-in for Red Hat Storage is a Technology Preview feature that offers seamless, integrated access to the Red Hat subscription services from the Red Hat Customer Portal. Subscribers who install this plug-in can access these features :

* Create, manage, and update the Red Hat support cases.

* Conveniently access exclusive Red Hat knowledge and solutions.

* Search error codes, messages, etc. and view related knowledge from the Red Hat Customer Portal. (BZ#999245)

* A new 'Event ID' column is added to the 'Events' table in the 'Advanced View' of 'Events' tab which allows users to see the ID of each event in the 'Events' tab. (BZ#889942)

* A new feature is added to manage and monitor the hooks on the Console. It also reports changes in the hooks and checks for new hook scripts by polling at regular intervals. (BZ#850483)

* A new 'Optimize for Virt Store' option is added to optimize a volume to use it as a virt store. The system sets the 'virt' group option on the volume and also the following two volume options :

* storage.owner-uid=36

* storage.owner-gid=36

This option is available during volume creation and also for existing volumes. (BZ#891493, BZ#891491)

All users of Red Hat Storage Server 2.1 are advised to upgrade to these updated packages.

According to its self-reported version number, the remote Junos Space version is prior to 13.3R1.8. It is, therefore, affected by multiple vulnerabilities in bundled third party software components :

  - Multiple vulnerabilities in RedHat JBoss application     server. (CVE-2010-0738, CVE-2010-1428, CVE-2010-1429,     CVE-2011-5245, CVE-2012-0818)

  - Multiple vulnerabilities in Oracle Java SE JDK.
    (CVE-2012-3143, CVE-2013-1537, CVE-2013-1557,     CVE-2013-2422)

  - Multiple vulnerabilities in Oracle MySQL server.
    (CVE-2013-1502, CVE-2013-1511, CVE-2013-1532,     CVE-2013-1544, CVE-2013-2375, CVE-2013-2376,     CVE-2013-2389, CVE-2013-2391, CVE-2013-2392,     CVE-2013-3783, CVE-2013-3793, CVE-2013-3794,     CVE-2013-3801, CVE-2013-3802, CVE-2013-3804,     CVE-2013-3805, CVE-2013-3808, CVE-2013-3809,     CVE-2013-3812, CVE-2013-3839)

  - Multiple vulnerabilities in Apache HTTP Server.
    (CVE-2013-1862, CVE-2013-1896)

  - Known hard-coded MySQL credentials. (CVE-2014-3413)

1 つのセキュリティ問題と多数のバグを修正する更新済みの rhevm パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Enterprise Virtualization Manager は、Red Hat Enterprise Linux および Microsoft Windows を実行している仮想マシンの収集を一元的に管理するためのビジュアルツールです。これらのパッケージには、Red Hat Enterprise Virtualization Manager REST（Representational State Transfer）の API も含まれています。これは、Red Hat Enterprise Virtualization Manager で、管理者がクエリと操作を行うことができるようにするための、スクリプト可能な一連のコマンドです。

RESTEasy が XML 外部エンティティ（XXE）攻撃に対して脆弱であることが判明しました。Red Hat Enterprise Virtualization Manager REST API にアクセスできるリモートの攻撃者が、ある外部 XML エンティティを含むリクエストを RESTEasy エンドポイントに送信すると、そのエンティティが判明する場合があります。これにより、攻撃者は、アプリケーションサーバーを実行しているユーザーにアクセス可能なファイルを読み取る可能性があります。この欠陥は、DOM（ドキュメントオブジェクトモデル）ドキュメントおよび JAXB（XML バインディング向け Java アーキテクチャ）の入力に影響を与えていました。（CVE-2012-0818）

この更新は以下のバグも修正します：

* これまで、REST API は「Accept」ヘッダーを無視していました。このため、ホストやディスクなどの、特定の sub-collections に関する詳細な情報を取り出すことができなくなっていました。REST API は更新されており、当初に意図したとおりに「Accept」ヘッダーを処理するようになりました。
（BZ#771369）

* 仮想マシンの「start_time」プロパティは、これまで絶えず設定されていました。
つまり、停止された仮想マシンでも、「start_time」の値を保持していました。更新により、「start_time」プロパティは、仮想マシンが起動されるときおよび実行中に限定して、確実に設定されるようになりました。（BZ#772975）

* これまで、「rhevm-setup」スクリプトは、ロケールが「en_US.UTF-8」、「en_US.utf-8」、または「en_US.utf8」に設定されたシステムでのみ、正常に動作していました。スクリプトは、「ja_JP.UTF-8」などのその他のロケールでも正常に動作するように、更新されています。
（BZ#784860）

* これまで、REST API は、電源管理を有効にする際に、必要なパラメーターがすべて指定されていることを検証していませんでした。返される応答コードは、必須パラメーターが指定されていない操作を成功したとして、間違って示す場合もありました。更新により、電源管理のパラメーターが確実に正しく検証されるようになりました。（BZ#785744）

* これまで、ホストでディスクの空き容量が少ない場合、警告もエラーも発行されませんでした。ホストでディスクの空き容量がなくなると、事前の警告なく反応しなくなる場合がありました。更新により、ホストのディスクの空き容量が 1000 MB 以下の場合に警告を、500 MB 以下の場合にエラーを、監査ログにそれぞれ報告するようになりました。（BZ#786132）

* ネットワークインターフェイスカードと既存の仮想マシンで、それぞれの MAC アドレスが衝突する場合、仮想マシンをインポートする際に、通知が提示されませんでした。現在これが発生すると、手動での対応が必要であることを強調するメッセージが監査ログに記入されます。
（BZ#795416）

* これまで、rhevm-config ツールを使用することで、SpiceSecureChannels には、1 つの値しか設定できませんでした。つまり、すべての SPICE チャネルを暗号化できなかったことになります。rhevm-config ツールは更新されており、SPICE チャネルを SpiceSecureChannels の構成キーに追加することで、すべて暗号化できるようになりました。（BZ#784012）

Red Hat Enterprise Virtualization の全ユーザーは、これらの更新済みパッケージにアップグレードして、この脆弱性に対応し、これらのバグを修正することが推奨されます。この更新のインストールについては、「ソリューション」セクションを参照してください。

1 つのセキュリティの問題とさまざまなバグを修正し、拡張機能を追加する更新済みの Red Hat Storage Console パッケージが、Red Hat Storage Server 2.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Storage Console（RHS-C）は、Red Hat Storage 2.1 環境を管理するための、強力かつシンプルな Web ベースのグラフィカルユーザーインターフェイスです。この機能は Technology Preview として提供され、現在 Red Hat Storage サブスクリプションサービスではサポートされていません。
Technology Previews に関する詳細については、次を参照してください：
https://access.redhat.com/support/offerings/techpreview/

RESTEasy が XML 外部エンティティ（XXE）攻撃に対して脆弱であることが判明しました。Red Hat Storage Console REST API にアクセスできるリモートの攻撃者が外部 XML エンティティを含むリクエストを RESTEasy エンドポイントに送信した場合、このエンティティが解決されます。これにより、攻撃者が、アプリケーションサーバーを実行するユーザーがアクセスできるファイルを読み取ることが可能です。この欠陥は、DOM（ドキュメントオブジェクトモデル）ドキュメントおよび JAXB（XML バインディング向け Java アーキテクチャ）の入力に影響を与えていました。
（CVE-2012-0818）

この更新は以下のバグも修正します：

* サーバーに必要なパッケージがインストールされていない場合、新しいサーバーをクラスターに追加することはできません。管理者がサーバーをクラスターに追加すると、必要なパッケージがない場合は、現在自動的にインストールされるようになりました。（BZ#850431）

* 以前は、rhs-log-collector ツールは GlusterFS 関連のログを収集していませんでした。（BZ#855271）

* 以前は、rhsc-setup が disabled モードの SELinux があるシステムで無事完了することは不可能でした。
（BZ#841342）

* UI 体験を改善するために、[Add Bricks] ポップアップの [Add Brick] ボタンが、現在 [Brick Directory] フィールドの横に配置されました。（BZ#863929）

* ボリュームの UUID が表示されませんでした。UUID を表示するために、[Volumes] タブの [Summary] サブタブに新しいフィールドが追加されました。
（BZ#887806）

* サーバーの再起動後、Web コンソールにアクセスできませんでした。サーバーの再起動後、Web コンソールにアクセスできるようにセットアップメカニズムを変更しました。（BZ#838284）

この更新により、次の拡張機能も追加されます：

* 以前は、既存のストレージクラスターを Red Hat Storage Console にインポートするとき、ホストが 1 つずつ追加されていました。今回、ユーザーが既存のストレージクラスターをインポートできる新しい機能が追加されました。新しい Cluster Creation ウィンドウに、既存のストレージクラスターをインポートするオプションがあります。クラスターのホストの 1 つの IP_Address またはホスト名とパスワードが入力されたら、クラスターのすべてのホストが含まれたリストが表示され、同じものを Console に追加することができます。また、クラスターの一部のボリュームもインポートされます。
（BZ#850438）

* ボリュームを有効にして CIFS を使用するためには、コマンドラインが必要でした。「Create Volume」ウィンドウの新しい「CIFS」チェックボックスで、ボリュームのエクスポートの有効と無効を切り替えることができるようになりました。（BZ#850452）

* Red Hat Storage 用の新しい Red Hat Support プラグインは、Red Hat Customer Portal から Red Hat サブスクリプションサービスへのシームレスかつ統合されたアクセスを提供する Technology Preview 機能です。このプラグインをインストールしたサブスクライバーは、次の機能にアクセスできます：

- Red Hat サポートケースを作成、管理、および更新する。- 限定の Red Hat ナレッジおよびソリューションに便利にアクセスする。- エラーコードやメッセージなどを検索し、Red Hat Customer Portal から関連するナレッジを表示する。
 （BZ#999245）

* 新しい　[Event ID] 列が、[Events] タブの [Advanced View] の [Events] テーブルに追加されました。これにより、ユーザーが、[Events] タブで各イベントの ID を表示することが可能です。（BZ#889942）

* Console のフックを管理およびモニターする新しい機能が追加されました。また、この機能は、フックの変更をレポートし、一定間隔でポーリングを行うことで新しいフックスクリプトを確認します。（BZ#850483）

* ボリュームを virt ストアとして使用するために最適化する、新しい「Optimize for Virt Store」オプションが追加されました。システムは「virt」グループオプションをボリュームに設定し、また次の 2 つのボリュームオプションも設定します：

- storage.owner-uid=36 - storage.owner-gid=36

このオプションは、ボリュームの作成中だけでなく、既存のボリュームに対しても利用できます。（BZ#891493、BZ#891491）

Red Hat Storage Server 2.1 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

自己報告バージョン番号によると、リモート Junos Space のバージョンは、13.3R1.8 より前です。このため、バンドルされたサードパーティソフトウェアコンポーネントの複数の脆弱性の影響を受けます：

- RedHat JBoss アプリケーションサーバーでの複数の脆弱性。（CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、 CVE-2011-5245、CVE-2012-0818）

- Oracle Java SE JDK での複数の脆弱性。
 （CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、 CVE-2013-2422）

- Oracle MySQL サーバーでの複数の脆弱性。
 （CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839）

- Apache HTTP Server での複数の脆弱性。
 （CVE-2013-1862、CVE-2013-1896）

- 既知のハードコードされた MySQL 認証情報。（CVE-2014-3413）

更新后的 rhevm 程序包修复了一个安全问题和多个缺陷，现在可用。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 是可视化工具，用于集中管理运行 Red Hat Enterprise Linux 和 Microsoft Windows 的虚拟机的集合。这些程序包也包括 Red Hat Enterprise Virtualization Manager REST (Representational State Transfer) API，即一组可编脚本的命令，使管理员能够执行有关 Red Hat Enterprise Virtualization Manager 的查询和操作。

已发现 RESTEasy 容易遭受 XML 外部实体 (XXE) 攻击。如果能够访问 Red Hat Enterprise Virtualization Manager REST API 的远程攻击者向 RESTEasy 端点提交包含外部 XML 实体的请求，将会解析该实体，从而允许攻击者读取运行应用程序服务器的用户可访问的文件。此缺陷影响 DOM（文档对象模型）文档和 JAXB (Java Architecture for XML Binding) 输入。(CVE-2012-0818)

此更新还修复以下缺陷：

* 以前，REST API 忽略“Accept”标头。这使其无法检索有关特定子集合的详细信息，包括主机和磁盘。REST API 已更新，现在可按原始意图处理“Accept”标头。
(BZ#771369)

* 以前始终会设置“start_time”虚拟机属性。
这意味着，即使是已经停止的虚拟机，也有“start_time’”值。已进行更新，确保“start_time”属性仅在虚拟机启动时设置，并且可以运行。(BZ#772975)

* 以前，“rhevm-setup”脚本只能在其区域设置设为“en_US.UTF-8”、“en_US.utf-8”或“en_US.utf8”的系统上成功运行。在升级后，该脚本在其他区域设置（包括“ja_JP.UTF-8”）中也可以成功运行。
(BZ#784860)

* 以前，REST API 不验证在启用电源管理时提供的所有必要参数。未提供必要参数时，返回的响应代码也会不正确指示操作已成功。已进行更新，确保正确验证电源管理参数。(BZ#785744)

* 以前，当主机上可用的磁盘空间容量低时，不会发出警告或错误。当主机上没有可用的磁盘空间时，将不会事先警告，而是直接变成无响应。现已更新，当主机的可用磁盘空间小于 1000 MB 时，会在审计日志中发出警告，当主机的可用磁盘空间小于 500 MB 提示错误。(BZ#786132)

* 导入虚拟机时，如果网络接口卡的 MAC 地址与现有虚拟机的 MAC 地址有冲突，不会提供通知。现在发生这种情况时，审计日志中会显示一则消息，强调人工干预的需要。
(BZ#795416)

* 以前，使用 rhevm-config 工具只能对 SpiceSecureChannels 设置一个值，不能多也不能少。这意味着无法对所有 SPICE 通道加密。rhevm-config 工具已更新，现在可将所有 SPICE 通道添加到 SpiceSecureChannels 配置密钥对它们加密。(BZ#784012)

建议所有 Red Hat Enterprise Virtualization 用户升级这些更新后的程序包，其中解决了此漏洞并修复了这些缺陷。请参阅“解决方案”部分，了解有关安装此更新的信息。

更新后的 Red Hat Storage Console 程序包修复了一个安全问题和多种缺陷，并添加了多项增强，现在可用于 Red Hat Storage Server 2.1。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Storage Console (RHS-C) 是一款强大而简单的基于 Web 的图形用户界面，用于管理 Red Hat Storage 2.1 环境。此功能是作为技术预览提供的，目前 Red Hat Storage 订阅服务不支持此功能。
有关技术预览的更多信息，请参阅：
https://access.redhat.com/support/offerings/techpreview/

已发现 RESTEasy 容易遭受 XML 外部实体 (XXE) 攻击。如果能够访问 Red Hat Storage Console REST API 的远程攻击者向 RESTEasy 端点提交包含外部 XML 实体的请求，则该实体会被解析，从而允许攻击者读取可由运行应用程序服务器的用户所访问的文件。此缺陷影响 DOM（文档对象模型）文档和 JAXB (Java Architecture for XML Binding) 输入。
(CVE-2012-0818)

此更新还修复以下缺陷：

* 以前如果新服务器上没有安装必要的程序包，则该服务器不能添加至群集。现在，管理员可将服务器添加至群集，因为服务器可自动安装缺少的必要程序包。(BZ#850431)

* 以前，rhs-log-collector 工具没有收集有关 GlusterFS 的日志。(BZ#855271)

* 以前，rhsc-setup 无法在禁用 SELinux 的系统中成功完成。
(BZ#841342)

* 现在“Add Bricks”弹出窗口中的“Add Brick”按钮被放置在“Brick Directory”字段旁边，从而实现更好的 UI 体验。(BZ#863929)

* 以前，卷的 UUID 不可见。现在，将一个新字段添加到“Volumes”选项卡中的“Summary”子选项卡，用来显示 UUID。
(BZ#887806)

* 以前在重新启动服务器之后，无法访问 Web 控制台。已修改设置机制，确保在重新启动服务器之后可访问 Web 控制台。(BZ#838284)

此更新还添加了以下增强：

* 以前，要逐个添加主机才可将现有的存储群集导入到 Red Hat Storage Console。现在新增了一项新功能，用户可导入现有的存储群集。新的“群集创建”窗口提供用于导入现有存储群集的选项。如果输入 IP_Address 或群集中某个主机的主机名和密码，则会显示含有群集中所有主机的列表，并且这些主机均可添加至控制台。还可导入群集中的卷。
(BZ#850438)

* 以前，需要通过命令行才能使卷使用 CIFS。现在，您可通过“创建卷”窗口中的新“CIFS”复选框来启用或禁用卷的导出。(BZ#850452)

* 用于 Red Hat Storage 的新 Red Hat Support 插件是一种技术预览功能，可提供对 Red Hat 客户门户网站中的 Red Hat 订阅服务的无缝集成访问。安装此插件的订阅者可访问以下功能：

- 创建、管理和更新 Red Hat 支持案例。- 方便地访问独有的 Red Hat 知识和解决方案。- 搜索错误代码、消息等，以及从 Red Hat 客户门户网站查看相关知识。
 (BZ#999245)

* 将新的“事件 ID”列添加至“事件”选项卡的“高级视图”中的“事件”表中，从而允许用户在“事件”选项卡中查看每个事件的 ID。(BZ#889942)

* 新增了一项功能，可管理和监控控制台上的挂钩。此功能还可报告挂钩的变化，并通过以常规间隔进行轮询来检查新的挂钩脚本。(BZ#850483)

* 新增了“优化虚拟存储”选项，用于优化作为虚拟存储的卷。系统设置了该卷上的“虚拟”群组选项，以及以下两个卷选项：

- storage.owner-uid=36 - storage.owner-gid=36

此选项在创建卷期间以及现有卷中可用。（BZ#891493、BZ#891491）

建议 Red Hat Storage Server 2.1 的所有用户升级这些更新后的程序包。

根据其自我报告的版本号，远程 Junos Space 版本低于 13.3R1.8。因此，它受到捆绑的第三方软件组件中的多种漏洞的影响：

- RedHat JBoss 应用程序服务器中的多种漏洞。（CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、CVE-2011-5245、CVE-2012-0818）

- Oracle Java SE JDK 中的多种漏洞。
 （CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、CVE-2013-2422）

- Oracle MySQL Server 中的多种漏洞。
 （CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839）

- Apache HTTP Server 中的多种漏洞。
 （CVE-2013-1862、CVE-2013-1896）

- 已知的硬编码 MySQL 凭据。(CVE-2014-3413)

現已提供更新版 rhevm 套件，可修正一個安全性問題和多種錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 是一種視覺化工具，可用於集中管理執行 Red Hat Enterprise Linux 和 Microsoft Windows 的虛擬機器集合。這些套件還提供 Red Hat Enterprise Virtualization Manager REST (具象狀態傳輸) API，其為一組可編寫指令碼的命令，可供系統管理員在 Red Hat Enterprise Virtualization Manager 上執行查詢和作業。

據發現，RESTEasy 容易遭受 XML 外部實體 (XXE) 攻擊。如果能夠存取 Red Hat Enterprise Virtualization Manager REST API 的遠端攻擊者提交一個包含外部 XML 實體的要求給 RESTEasy 端點，將會解析該實體，進而允許攻擊者讀取執行應用程式伺服器之使用者可存取的檔案。此瑕疵影響 DOM (文件物件模型) 文件與 JAXB (Java XML 繫結架構) 輸入。(CVE-2012-0818)

此更新也可修正下列錯誤：

* 先前，REST API 會忽略「Accept」標頭。此可導致無法擷取有關特定子集合的詳細資訊，包括主機和磁碟。REST API 已更新，現可如預期地處理「Accept」標頭。
(BZ#771369)

* 先前會一律設定「start_time」虛擬機器內容。
這表示即使虛擬機器已停止，仍會有「start_time」值。現已提供更新，確保只有在虛擬機器啟動並執行時，才設定「start_time」內容。(BZ#772975)

*「rhevm-setup」指令碼先前只有在地區設定設為「en_US.UTF-8」、「en_US.utf-8」或「en_US.utf8」的系統中，才能成功執行。指令碼現已更新，也可在其他地區設定中成功執行，包括「ja_JP.UTF-8」。
(BZ#784860)

* REST API 先前在啟用電源管理時，並未驗證是否已提供所有必要參數。傳回的回應程式碼也會不正確指示作業已成功執行，但其實並未提供強制參數。現已提供更新，確保電源管理參數已正確驗證。(BZ#785744)

* 先前，主機上的可用磁碟空間不足時，系統不會顯示警告或錯誤訊息。主機上沒有任何可用的磁碟空間時，其會在未事先顯示任何警告的情況下，直接進入無法回應的狀態。現已提供更新，當主機的可用磁碟空間少於 1000 MB 時，將在稽核記錄檔中報告警告；若主機的可用磁碟空間少於 500 MB，則顯示錯誤訊息。(BZ#786132)

* 匯入虛擬機器時，若網路介面卡的 MAC 位址和現有虛擬機器的 MAC 位址相衝突，系統並不會提供任何通知訊息。現在若發生此情況，則會在稽核記錄檔中列印訊息，強調需要進行手動干預處理。
(BZ#795416)

* 先前，無法使用 rhevm-config 工具針對 SpiceSecureChannels 設定多於或少於一個值。這表示無法加密所有 SPICE 通道。rhevm-config 工具已更新，現可將 SPICE 通道新增到 SpiceSecureChannels 組態金鑰，進而加密所有 SPICE 通道。(BZ#784012)

建議所有 Red Hat Enterprise Virtualization 使用者皆升級至這些更新版套件，其可解決此弱點並修正這些錯誤。請參閱〈解決方案〉一節中有關如何安裝此更新的資訊。

現已提供適用於 Red Hat Storage Server 2.1 的更新版 Red Hat Storage Console 套件，可修正一個安全性問題、多種錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Storage Console (RHS-C) 是一個功能強大而且簡單的 web 型圖形使用者介面，可用來管理 Red Hat Storage 2.1 環境。此功能是以技術預覽的形式提供，目前在 Red Hat Storage 訂閱服務下不受支援。
如需有關技術預覽的詳細資訊，請參閱下列網頁：
https://access.redhat.com/support/offerings/techpreview/

據發現，RESTEasy 容易遭受 XML 外部實體 (XXE) 攻擊。如果能夠存取 Red Hat Storage Console REST API 的遠端攻擊者提交一個包含外部 XML 實體的要求給 RESTEasy 端點，將會解析該實體，進而允許攻擊者讀取執行應用程式伺服器之使用者可存取的檔案。此瑕疵影響 DOM (文件物件模型) 文件與 JAXB (Java XML 繫結架構) 輸入。
(CVE-2012-0818)

此更新也可修正下列錯誤：

* 如果伺服器上未安裝所需的套件，可能無法將新的伺服器新增至叢集。現在，系統管理員可以將伺服器新增至將自動安裝所需套件 (若遺漏) 的叢集。(BZ#850431)

* 先前 rhs-log-collector 工具未收集 GlusterFS 相關記錄。(BZ#855271)

* 先前 rhsc-setup 無法在已停用模式下具備 SELinux 的系統上成功完成。
(BZ#841342)

* [新增基礎構件] 快顯視窗中的 [新增基礎構件] 按鈕現在放在 [基礎構件目錄] 欄位旁邊，以獲得更佳的 UI 體驗。(BZ#863929)

* 看不到磁碟區的 UUID。現在，新欄位已新增至 [磁碟區] 索引標籤的 [摘要] 子索引標籤中，以顯示 UUID。
(BZ#887806)

* 伺服器重新開機後無法存取 web 主控台。設定機制已修改，以確保在伺服器重新開機後可存取 web 主控台。(BZ#838284)

此更新也新增了下列增強功能：

* 先前，要將現有的儲存叢集匯入至 Red Hat Storage Console 時，會逐一新增主機。現在已新增可讓使用者匯入現有儲存叢集的新功能。新的 [建立叢集] 視窗包含一個可匯入現有儲存叢集的選項。如果輸入其中一個叢集主機的 IP_Address 或主機名稱和密碼，就會顯示一個包含所有叢集主機的清單，而且可以將該清單新增至 Console 中。系統也會匯入叢集所屬的磁碟區。
(BZ#850438)

* 需要有命令行，才能啟用使用 CIFS 的磁碟區。現在，您可以使用 [建立磁碟區] 視窗中的新 [CIFS] 核取方塊，啟用或停用磁碟區的匯出。(BZ#850452)

* 適用於 Red Hat Storage 的新 Red Hat Support 外掛程式是一個技術預覽功能，可針對來自 Red Hat 客戶入口網站的 Red Hat 訂閱服務，提供整合式的無縫存取。安裝此外掛程式的訂閱者可以存取這些功能：

- 建立、管理與更新 Red Hat 支援案例。- 方便地存取獨佔的 Red Hat 知識和解決方案。- 搜尋錯誤碼、訊息等，並從 Red Hat 客戶入口網站檢視相關的知識。
 (BZ#999245)

* 新的 [事件 ID] 欄已新增至 [事件] 索引標籤之 [進階檢視] 中的 [事件] 表格，此欄可讓使用者看到 [事件] 索引標籤中的每個事件 ID。(BZ#889942)

* 已新增一個功能，可管理和監控 Console 上的勾點。此功能也會報告勾點中的變更，並透過定期輪詢，檢查新的勾點指令碼。(BZ#850483)

* 已新增 [針對虛擬存放區最佳化] 選項，可將某個磁碟區最佳化，以便將其當做虛擬存放區使用。系統會設定磁碟區上的 ‘virt’ 群組選項，也會設定以下兩個磁碟區選項：

- storage.owner-uid=36 - storage.owner-gid=36

此選項可在建立磁碟區期間使用，也可以用於現有的磁碟區。(BZ#891493、BZ#891491)

建議所有 Red Hat Storage Server 2.1 使用者皆升級至這些更新版套件。

根據其自我報告的版本號碼，遠端 Junos Space 版本為 13.3R1.8 以前的版本。因此，受到隨附的第三方軟體元件中多個弱點影響：

- RedHat JBoss 應用程式伺服器中的多個弱點。(CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、CVE-2011-5245、CVE-2012-0818)

- Oracle Java SE JDK 中的多個弱點。
 (CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、CVE-2013-2422)

- Oracle MySQL 伺服器中的多個弱點。
 (CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839)

- Apache HTTP Server 中的多個弱點。
 (CVE-2013-1862、CVE-2013-1896)

- 已知的硬式編碼 MySQL 認證。(CVE-2014-3413)

ID	名稱	產品	系列	已發布	已更新	嚴重性
64046	RHEL 4/5/6：resteasy（RHSA-2012:1059）	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
64046	RHEL 5 / 6 : resteasy (RHSA-2012:1059)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
64046	RHEL 4 / 5 / 6：resteasy (RHSA-2012:1059)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
64046	RHEL 4 / 5 / 6：resteasy (RHSA-2012:1059)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
79284	RHEL 6 : rhevm (RHSA-2012:0421)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
79289	RHEL 6 : Storage Server (RHSA-2013:1263)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
80195	Juniper Junos Space < 13.3R1.8 Multiple Vulnerabilities (JSA10627)	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical
79284	RHEL 6：rhevm（RHSA-2012:0421）	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
79289	RHEL 6：Storage Server（RHSA-2013:1263）	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
80195	Juniper Junos Space < 13.3R1.8 の複数の脆弱性（JSA10627）	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical
79284	RHEL 6：rhevm (RHSA-2012:0421)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
79289	RHEL 6：Storage Server (RHSA-2013:1263)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
80195	Juniper Junos Space < 13.3R1.8 多种漏洞 (JSA10627)	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical
79284	RHEL 6 : rhevm (RHSA-2012:0421)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
79289	RHEL 6：Storage Server (RHSA-2013:1263)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
80195	Juniper Junos Space < 13.3R1.8 多個弱點 (JSA10627)	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

critical

medium

medium

critical

medium

medium

critical

medium

medium

critical