遠端 Oracle Linux 6 主機上安裝的套件受到 ELSA-2012-1269 公告中提及的弱點影響。

    python-qpid [0.14-11]
    - BZs825078
    - 解決：rhbz#840053

    qpid-cpp [0.14-22.0.1.el6_3 ]
    - 將規格檔中的摘要和描述更新為產品中性

    [0.14-22]
    - BZ609685、849654、854004

    [0.14-21]
    - BZ831365、840982、844618

    [0.14-20]
    - BZ683711、689408、825078、834608、841196、841488

    [0.14-19]
    - BZ609685、683711、693444、707682、729311、801465、808090、809357、811481、817283、826989、831365、835628

    [0.14-18]
    - BZ609685、729311、808090、809357、817283

    qpid-qmf [0.14-14.0.1.el6_3]
    - 變更版本供應商

    [0.14-14]
    - BZ693845、773700、806869、847331

    qpid-tools [0.14-6]
    - 解決：rhbz#840058
    - 修正錯誤 850111 - qpid-stat -c mech 欄資料遺失

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 4 主機已安裝受 AXSA:2012-1014:04 公告中所提及一個弱點影響的套件。

    qpid-tools：適用於 Apache Qpid 代理人和用戶端的管理和診斷工具。
    qpid-qmf-Qpid 傳訊上分層的可延伸管理架構 qpid-cppQpid 程序外掛程式支援 SSL 作為 AMQP 傳訊的傳輸方式。
    python-qpid適用於 AMQP 的 Apache Qpid Python 用戶端程式庫。
    此版本修正的安全性問題
    CVE-2012-2145 Apache Qpid 0.17 和更舊版本未正確限制傳入的用戶端連線進而允許遠端攻擊者透過大量不完整的連線造成拒絕服務 (檔案描述符號消耗)。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 qpid 套件，可修正一個安全性問題、多個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache Qpid 是一款可靠、跨平台、非同步的訊息系統，以數種常用的程式設計語言支援 Advanced Message Queuing Protocol (AMQP)。

據發現，Qpid 程序 (qpidd) 並未允許限制來自用戶端的連線數。惡意用戶端可利用此瑕疵開啟大量連線，使其他合法用戶端無法與 qpidd 建立連線。(CVE-2012-2145)

為了解決 CVE-2012-2145，引入新的 qpidd 組態選項：max-negotiate-time 用來定義初始通訊協定交涉必須成功的時間，connection-limit-per-user 和 connection-limit-per-ip 可用來限制每個使用者和用戶端主機 IP 的連線數。如需其他詳細資料，請參閱 qpidd 手冊頁面。

此外，qpid-cpp、qpid-qmf、qpid-tools 和 python-qpid 套件已升級至上游版本 0.14，其中提供針對 Red Hat Enterprise MRG 2.2 的支援，以及針對先前版本的一些錯誤修正和增強功能。(BZ#840053、BZ#840055、BZ#840056、BZ#840058)

建議所有 qpid 使用者皆升級至這些更新版套件，其可修正這些問題並新增這些增強功能。

現已提供適用於 Red Hat Enterprise Linux 5 之 Red Hat Enterprise MRG 2.2 的更新版 Messaging 元件套件，可修正兩個安全性問題、多個錯誤，並新增多種增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise MRG (Messaging、Realtime 與 Grid) 是企業計算方面的新一代 IT 基礎結構。MRG 為企業客戶提供增進的效能、可靠性、互通性與更快的計算能力。

MRG Messaging 是針對 Linux 以 AMQP (進階訊息佇列通訊協定) 為基礎所發佈的高速可靠傳訊，這是企業傳訊的開放式通訊協定標準，可將任務重要的傳訊能力廣泛推廣為標準服務，並使企業傳訊能夠跨平台、程式設計語言及供應商互通。MRG Messaging 包含 AMQP 0-10 傳訊 Broker；適用於 C++、Java JMS 與 Python 的 AMQP 0-10 用戶端程式庫；另外還有持續性程式庫與管理工具。

據發現，Apache Qpid 程序 (qpidd) 未允許限制來自用戶端的連線數。惡意用戶端可利用此瑕疵開啟大量連線，使其他合法用戶端無法與 qpidd 建立連線。(CVE-2012-2145)

為了解決 CVE-2012-2145，引入新的 qpidd 組態選項：max-negotiate-time 用來定義初始通訊協定交涉必須成功的時間，connection-limit-per-user 和 connection-limit-per-ip 可用來限制每個使用者和用戶端主機 IP 的連線數。如需其他詳細資料，請參閱 qpidd 手冊頁面。

據發現，若新代理人在加入叢集時建立 'catch-up' 陰影連線，qpidd 不會要求加以驗證。惡意用戶端可利用此瑕疵繞過用戶端驗證。(CVE-2012-3467)

此更新還修正了多個錯誤，並新增數個增強功能。
這些變更的相關文件近期將可從＜參照＞一節中的「技術提示」文件連結中取得。

建議 Red Hat Enterprise MRG 2.2 之 Messaging 功能的所有使用者皆升級至這些更新版套件，其可解決此問題，並新增在 Red Hat Enterprise MRG 2 技術提示中提到的增強功能。安裝更新版套件之後，透過對所有節點執行「service qpidd stop」，或對任何一個叢集節點執行「qpid-cluster --all-stop」，可停止叢集。停止之後，對所有節點以「service qpidd start」重新啟動叢集，更新才會生效。

Apache Qpid 是一款可靠、跨平台、非同步的訊息系統，以數種常用的程式設計語言支援 Advanced Message Queuing Protocol (AMQP)。

據發現，Qpid 程序 (qpidd) 並未允許限制來自用戶端的連線數。惡意用戶端可利用此瑕疵開啟大量連線，使其他合法用戶端無法與 qpidd 建立連線。(CVE-2012-2145)

為了解決 CVE-2012-2145，引入新的 qpidd 組態選項：max-negotiate-time 用來定義初始通訊協定交涉必須成功的時間，connection-limit-per-user 和 connection-limit-per-ip 可用來限制每個使用者和用戶端主機 IP 的連線數。如需其他詳細資料，請參閱 qpidd 手冊頁面。

此外，qpid-cpp、qpid-qmf、qpid-tools 和 python-qpid 套件已升級至上游版本 0.14，其提供針對先前版本的數個錯誤修正和增強功能。

建議所有 qpid 使用者皆升級至這些更新版套件，其可修正這些問題並新增這些增強功能。

針對相依性解析 saslwrapper，saslwrapper-devel、python-saslwrapper 和 ruby-saslwrapper 已新增至此更新

ID	名稱	產品	系列	已發布	已更新	嚴重性
68626	Oracle Linux 6 : qpid (ELSA-2012-1269)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	medium
284341	MiracleLinux 4qpid-tools-0.14-6.AXS4、qpid-qmf-0.14-14.AXS4、qpid-cpp-0.14-22.AXS4、python-qpid-0.14-11.AXS4 (AXSA:2012-1014:04 )	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	medium
62209	RHEL 6 : qpid (RHSA-2012:1269)	Nessus	Red Hat Local Security Checks	2012/9/20	2024/4/27	medium
76648	RHEL 5：MRG Messaging (RHSA-2012:1277)	Nessus	Red Hat Local Security Checks	2014/7/22	2024/4/27	medium
62217	CentOS 6：qpid (CESA-2012:1269)	Nessus	CentOS Local Security Checks	2012/9/21	2021/1/4	medium
62218	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 qpid	Nessus	Scientific Linux Local Security Checks	2012/9/21	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium