Red Hat Subscription Asset Manager 1.2, which fixes several security issues, multiple bugs, and adds various enhancements, is now available.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat Subscription Asset Manager acts as a proxy for handling subscription information and software updates on client machines.

It was discovered that Katello did not properly check user permissions when handling certain requests. An authenticated remote attacker could use this flaw to download consumer certificates or change settings of other users' systems if they knew the target system's UUID.
(CVE-2012-5603)

A vulnerability in rubygem-ldap_fluff allowed a remote attacker to bypass authentication and log into Subscription Asset Manager when a Microsoft Active Directory server was used as the back-end authentication server. (CVE-2012-5604)

It was found that the '/usr/share/katello/script/katello-generate-passphrase' utility, which is run during the installation and configuration process, set world-readable permissions on the '/etc/katello/secure/passphrase' file. A local attacker could use this flaw to obtain the passphrase for Katello, giving them access to information they would otherwise not have access to. (CVE-2012-5561)

Note: After installing this update, ensure the '/etc/katello/secure/passphrase' file is owned by the root user and group and mode 0750 permissions. Sites should also consider re-creating the Katello passphrase as this issue exposed it to local users.

Three flaws were found in rubygem-rack. A remote attacker could use these flaws to perform a denial of service attack against applications using rubygem-rack. (CVE-2012-6109, CVE-2013-0183, CVE-2013-0184)

A flaw was found in the way rubygem-activerecord dynamic finders extracted options from method parameters. A remote attacker could possibly use this flaw to perform SQL injection attacks against applications using the Active Record dynamic finder methods.
(CVE-2012-6496)

It was found that ruby_parser from rubygem-ruby_parser created a temporary file in an insecure way. A local attacker could use this flaw to perform a symbolic link attack, overwriting arbitrary files accessible to the application using ruby_parser. (CVE-2013-0162)

The CVE-2012-5603 issue was discovered by Lukas Zapletal of Red Hat;
CVE-2012-5604 was discovered by Og Maciel of Red Hat; CVE-2012-5561 was discovered by Aaron Weitekamp of the Red Hat Cloud Quality Engineering team; and CVE-2013-0162 was discovered by Michael Scherer of the Red Hat Regional IT team.

These updated Subscription Asset Manager packages include a number of bug fixes and enhancements. Space precludes documenting all of these changes in this advisory. Refer to the Red Hat Subscription Asset Manager 1.2 Release Notes for information about these changes :

https://access.redhat.com/knowledge/docs/en-US/ Red_Hat_Subscription_Asset_Manager/1.2/html/Release_Notes/index.html

All users of Red Hat Subscription Asset Manager are advised to upgrade to these updated packages, which fix these issues and add various enhancements.

いくつかのセキュリティ問題および複数のバグを修正し、いくつかの拡張機能を追加する Red Hat Subscription Asset Manager 1.2 が現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat サブスクリプションアセットマネージャーは、クライアントのマシンでサブスクリプション情報やソフトウェア更新を処理するためのプロキシとして機能します。

Katello が、特定のリクエストを処理する際にユーザーの権限を適切にチェックしていないことが判明しました。認証されているリモートの攻撃者が、この欠陥を利用して、ターゲットのシステムの UUID がわかる場合、コンシューマーの認証情報をダウンロードすることや、その他のユーザーシステムの設定を変更する可能性があります。
(CVE-2012-5603)

rubygem-ldap_fluff の脆弱性により、Microsoft Active Directory サーバーがバックエンド認証サーバーとして使用されていた場合、リモートの攻撃者が認証をバイパスしたり、Subscription Asset Manager にログインしたりすることができました。(CVE-2012-5604)

インストールおよび構成プロセス中に実行している「/usr/share/katello/script/katello-generate-passphrase」ユーティリティは、「/etc/katello/secure/passphrase」ファイルで誰でも読み取りできる権限が設定されていることが見つかりました。ローカルの攻撃者がこの欠陥を使用して、Katello のパスフレーズを取得し、通常ではアクセス権のない情報に対するアクセスを与える可能性があります。(CVE-2012-5561)

注：この更新をインストールした後、「/etc/katello/secure/passphrase」ファイルが、root ユーザーおよびグループ、モード 0750 権限で所有されていることを確認してください。この問題がローカルユーザーも対象として含めるため、サイトは Katello パスフレーズの再作成を考慮する必要があります。

rubygem-rack に、3 つの欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を利用して、rubygem-rack を使用しているアプリケーションに対して DoS 攻撃（サービス拒否攻撃）を仕掛ける可能性があります。（CVE-2012-6109、 CVE-2013-0183、CVE-2013-0184）

rubygem-activerecord 動的ファインダーがメソッドパラメーターからオプションを抽出していた方法で欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、Active Record 動的ファインダーメソッドを使用しているアプリケーションに対して SQL インジェクション攻撃を仕掛ける可能性があります。
(CVE-2012-6496)

rubygem-ruby_parser の ruby_parser が安全でない方法で一時ファイルを作成していたことが見つかりました。ローカルの攻撃者はこの欠陥を使用して、シンボリックリンク攻撃を実行し、ruby_parser を使用するアプリケーションがアクセス可能な任意のファイルを上書きする可能性があります。(CVE-2013-0162)

CVE-2012-5603 の問題は、Red Hat の Lukas Zapletal 氏により発見されました。
CVE-2012-5604 は、Red Hat の Og Maciel 氏により発見されました。CVE-2012-5561 は、Red Hat クラウド品質エンジニアリングチーム の Aaron Weitekamp 氏により発見されました。CVE-2013-0162 は、Red Hat リージョナル IT チームの Michael Scherer 氏により発見されました。

これらの更新済みの Subscription Asset Manager パッケージには、多数のバグ修正と拡張機能が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更の情報については、Red Hat Subscription Asset Manager 1.2 リリースノートを参照してください：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Subscription_Asset_Manager/1.2/html/Release_Notes/index.html

Red Hat Subscription Asset Manager の全ユーザーは、これらの更新済みパッケージへアップグレードし、この問題を修正して、さまざまな拡張機能を追加することが推奨されます。

現已提供 Red Hat Subscription Asset Manager 1.2，其中修正數個安全性問題、多個錯誤，並新增多種增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Subscription Asset Manager 會作為一個 Proxy 來處理用戶端電腦上的訂閱資訊與軟體更新。

據發現，Katello 在處理特定要求時，並未正確檢查使用者權限。經驗證的遠端攻擊者可利用此瑕疵，下載取用者憑證，或者若其知道目標系統的 UUID，則可變更其他使用者系統的設定。
(CVE-2012-5603)

rubygem-ldap_fluff 中有一個弱點，允許遠端攻擊者在 Microsoft Active Directory 伺服器做為後端驗證伺服器使用時，繞過驗證並登入 Subscription Asset Manager。(CVE-2012-5604)

據發現，在安裝和組態處理程序期間執行的「/usr/share/katello/script/katello-generate-passphrase」公用程式會對「/etc/katello/secure/passphrase」檔案設定任何人皆可讀取的權限。本機攻擊者可利用此瑕疵取得 Katello 的密碼，從而存取其原本無法存取的資訊。(CVE-2012-5561)

注意：安裝此更新之後，請確保「/etc/katello/secure/passphrase」檔案是由 root 使用者和群組及模式 0750 權限所擁有。網站也應考慮重新建立 Katello 密碼，因為此問題會將密碼洩漏給本機使用者。

在 rubygem-rack 中找到三個瑕疵。遠端攻擊者可利用這些瑕疵，針對使用 rubygem-rack 的應用程式發動拒絕服務攻擊。(CVE-2012-6109、CVE-2013-0183、CVE-2013-0184)

在 rubygem-activerecord 動態尋找工具從方法參數擷取選項的方式中，發現一個瑕疵。遠端攻擊者可能利用此瑕疵，針對使用 Active Record 動態尋找工具方法的應用程式，發動 SQL 插入攻擊。
(CVE-2012-6496)

據發現，rubygem-ruby_parser 的 ruby_parser 以一種不安全的方式建立了暫存檔。本機攻擊者可利用此瑕疵執行符號連結攻擊，從而覆寫使用 ruby_parser 之應用程式可存取的任意檔案。(CVE-2013-0162)

CVE-2012-5603 問題是由 Red Hat 的 Lukas Zapletal 所發現；
CVE-2012-5604 是由 Red Hat 的 Og Maciel 所發現；CVE-2012-5561 是由 Red Hat Cloud Quality Engineering 團隊的 Aaron Weitekamp 所發現；CVE-2013-0162 則是由 Red Hat Regional IT 的 Michael Scherer 所發現。

這些更新版 Subscription Asset Manager 套件包含數個錯誤修正與增強功能。因空間所限，無法在此公告中記錄所有這些變更。如需有關這些變更的資訊，請參閱 Red Hat Subscription Asset Manager 1.2 版本資訊：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Subscription_Asset_Manager/1.2/html/Release_Notes/index.html

建議所有 Red Hat Subscription Asset Manager 使用者皆升級至這些更新版套件，其可修正這些問題，並新增多種增強功能。

Red Hat Subscription Asset Manager 1.2 修复了多种安全问题、多种缺陷并添加了各种增强，现已可用。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Subscription Asset Manager 是在客户端计算机上处理订阅信息和软件更新的代理。

发现 Katello 在处理某些请求时未正确检查用户权限。如果经认证的远程攻击者知道目标系统的 UUID，则可利用此缺陷下载客户证书或更改其他用户系统的设置。
(CVE-2012-5603)

rubygem-ldap_fluff 中的漏洞允许远程攻击者在 Microsoft Active Directory 服务器用作后端认证服务器时绕过认证并登入 Subscription Asset Manager。(CVE-2012-5604)

发现在安装和配置过程中运行的“/usr/share/katello/script/katello-generate-passphrase”实用工具在“/etc/katello/secure/passphrase”文件中设置全局可读权限。本地攻击者可利用此缺陷获取 Katello 的密码，从而访问其原本没有访问权限的信息。(CVE-2012-5561)

注意：安装此更新后，请确保“/etc/katello/secure/passphrase”文件归根用户和群组以及模式 0750 权限所有。站点还应考虑重新创建 Katello 密码，因为此问题已将密码暴露给本地用户。

在 rubygem-rack 中发现三个缺陷。远程攻击者可利用这些缺陷，针对使用 rubygem-rack 的应用程序执行拒绝服务攻击。（CVE-2012-6109、CVE-2013-0183、CVE-2013-0184）

在 rubygem-activerecord 动态查找器从方法参数提取选项的方式中发现一个缺陷。远程攻击者可能利用此缺陷，针对使用 Active Record 动态查找器方法的应用程序执行 SQL 注入攻击。
(CVE-2012-6496)

发现来自 rubygem-ruby_parser 的 ruby_parser 以不安全的方式创建临时文件。本地攻击者可利用此缺陷执行符号链接攻击，覆盖使用 ruby_parser 的应用程序可访问的任意文件。(CVE-2013-0162)

CVE-2012-5603 问题由 Red Hat 的 Lukas Zapletal 发现；CVE-2012-5604 由 Red Hat 的 Og Maciel 发现；CVE-2012-5561 由 Red Hat Cloud 质量工程团队的 Aaron Weitekamp 发现；CVE-2013-0162 由 Red Hat 区域 IT 团队的 Michael Scherer 发现。

这些更新后的 Subscription Asset Manager 程序包包含许多缺陷补丁和增强。空间有限，无法在此公告中记载所有这些更改。请参阅 Red Hat Subscription Asset Manager 1.2 发行说明了解关于这些更改的信息：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Subscription_Asset_Manager/1.2/html/Release_Notes/index.html

建议所有 Red Hat Subscription Asset Manager 用户升级这些更新后的程序包，其中修复了这些问题并添加了各种增强。

ID	名稱	產品	系列	已發布	已更新	嚴重性
65172	RHEL 6 : Subscription Asset Manager (RHSA-2013:0544)	Nessus	Red Hat Local Security Checks	2013/3/10	2021/1/14	high
65172	RHEL 6：Subscription Asset Manager（RHSA-2013:0544）	Nessus	Red Hat Local Security Checks	2013/3/10	2021/1/14	high
65172	RHEL 6 : Subscription Asset Manager (RHSA-2013:0544)	Nessus	Red Hat Local Security Checks	2013/3/10	2021/1/14	high
65172	RHEL 6：Subscription Asset Manager (RHSA-2013:0544)	Nessus	Red Hat Local Security Checks	2013/3/10	2021/1/14	high

偵測

搜尋 Plugin

high

high

high

high