Jibbers McGee discovered that PyMongo incorrectly handled certain invalid DBRefs. An attacker could use this issue to cause PyMongo to crash, resulting in a denial of service.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Updated mongodb and pymongo packages that fix two security issues and add one enhancement are now available for Red Hat Enterprise MRG 2.3 for Red Hat Enterprise Linux 6.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

MongoDB is a NoSQL database. PyMongo provides tools for working with MongoDB.

A flaw was found in the run() function implementation in MongoDB. A database user permitted to send database queries to a MongoDB server could use this flaw to crash the server or, possibly, execute arbitrary code with the privileges of the mongodb user.
(CVE-2013-1892)

A NULL pointer dereference flaw was found in PyMongo. An invalid DBRef record received from a MongoDB server could cause an application using PyMongo to crash. (CVE-2013-2132)

Note: In Red Hat Enterprise MRG Grid, MongoDB is not accessed by users directly and is only accessed by other Grid services, such as Condor and Cumin.

This update also adds the following enhancement :

* Previously, MongoDB was configured to listen for connections on all network interfaces. This could allow remote users to access the database if the firewall was configured to allow access to the MongoDB port (access is blocked by the default firewall configuration in Red Hat Enterprise Linux). This update changes the configuration to only listen on the loopback interface by default. (BZ#892767)

Users of Red Hat Enterprise MRG 2.3 for Red Hat Enterprise Linux 6 are advised to upgrade to these updated packages, which contain backported patches to resolve these issues and add this enhancement. After installing this update, MongoDB will be restarted automatically.

2 つのセキュリティ問題を修正し、1 つの拡張機能を追加する、更新済みの mongodb および pymongo パッケージが、Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG 2.3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

MongoDB は NoSQL データベースです。PyMongo は MongoDB と共に動作するツールを提供します。

MongoDB の run() 関数の実装に欠陥が見つかりました。データベースキューを MongoDB サーバーへ送信することが許可されたデータベースユーザーがこの欠陥を利用して、サーバーをクラッシュさせたり、mongodb ユーザーの権限で任意のコードを実行したりする可能性があります。
（CVE-2013-1892）

PyMongo に NULL ポインターデリファレンスの欠陥が見つかりました。MongoDB サーバーから受信する無効な DBRef レコードは、PyMongo を使用するアプリケーションをクラッシュさせる可能性があります。（CVE-2013-2132）

注意：Red Hat Enterprise MRG Grid 内で、MongoDB はユーザーによって直接アクセスされず、Condor や Cumin などの他の Grid サービスによってのみアクセスされます。

この更新により、次の拡張機能も追加されます：

* 以前は、MongoDB は、全てのネットワークインターフェイス上の接続をリッスンするように設定されていました。このため、ファイアウォールが MongoDB ポートへのアクセスを許可するように設定されていた場合、リモートのユーザーがデータベースにアクセスする可能性がありました（Red Hat Enterprise Linux のデファルトのファイアウォール構成では、アクセスはブロックされます）。この更新により、デフォルトでループバックのインターフェイスのみをリッスンするように設定が変更されます。（BZ#892767）

Red Hat Enterprise Linux 6 の Red Hat Enterprise MRG 2.3 のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、この機能強化を追加することが推奨されます。この更新をインストールすると、MongoDB は自動的に再起動されます。

Jibbers McGee 氏は、PyMong が特定の無効な DBRefs を不適切に処理していたことを発見しました。攻撃者はこの問題を利用して、PyMongo をクラッシュさせることで、サービス拒否を引き起こす可能性があります。

更新后的 ongodb 和 pymongo 程序包修复了两个安全问题并添加了一项增强，现在可用于 Red Hat Enterprise MRG 2.3 for Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

MongoDB 是一款 NoSQL 数据库。PyMongo 提供用于处理 MongoDB 的工具。

在 MongoDB 的 run() 函数实现中发现一个缺陷。获准向 MongoDB 服务器发送数据库查询的数据库用户可利用此缺陷造成服务器崩溃，或可能以 mongodb 用户的权限执行任意代码。
(CVE-2013-1892)

在 PyMongo 中发现一个空指针取消引用缺陷。从 MongoDB 服务器收到的无效 DBRef 记录可造成使用 PyMongo 的应用程序崩溃。(CVE-2013-2132)

注意：在 Red Hat Enterprise MRG 网格中，MongoDB 不能直接被用户访问，只能被其他网格服务（如 Condor 和 Cumin）访问。

此更新还添加了以下增强：

* 以前，MongoDB 被配置为侦听所有网络接口的连接。如果防火墙配置为允许访问 MongoDB 端口（Red Hat Enterprise Linux 中的默认防火墙配置阻止访问）这可允许远程用户访问数据库。此更新将配置更改为默认仅侦听回路接口。(BZ#892767)

建议 Red Hat Enterprise MRG 2.3 for Red Hat Enterprise Linux 6 的用户升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序，并添加了此增强。安装此更新后，MongoDB 将自动重新启动。

現已提供適用於 Red Hat Enterprise Linux 6 之 Red Hat Enterprise MRG 2.3 的更新版 mongodb 和 pymongo 套件，可修正兩個安全性問題，並新增一個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

MongoDB 是一種 NoSQL 資料庫。PyMongo 會提供用於處理 MongoDB 的工具。

在 MongoDB 的 run() 函式實作中發現一個瑕疵。能將資料庫查詢傳送至 MongoDB 伺服器的資料庫使用者可利用此瑕疵，使伺服器當機，或可能以 mongodb 使用者的權限，執行任意程式碼。
(CVE-2013-1892)

在 PyMongo 中發現一個 NULL 指標解除參照瑕疵。從 MongoDB 伺服器收到的無效 DBRef 記錄可造成使用 PyMongo 的應用程式損毀。(CVE-2013-2132)

注意：在 Red Hat Enterprise MRG Grid 中，MongoDB 不會由使用者直接存取，僅能由其他 Grid 服務存取，例如 Condor 和 Cumin。

此更新也新增了下列增強功能：

* 之前，MongoDB 設定為接聽所有網路介面上的連線。如果防火牆設定為允許存取 MongoDB 連接埠，這可允許遠端使用者存取資料庫 (在 Red Hat Enterprise Linux 中，預設防火牆組態會封鎖存取)。此更新會將組態變更為預設僅在回送介面上接聽。(BZ#892767)

建議適用於 Red Hat Enterprise Linux 6 的 Red Hat Enterprise MRG 2.3 使用者升級至這些更新版套件，其中包含反向移植修補程式，可解決這些問題並新增這個增強功能。安裝此更新之後，將會自動重新啟動 MongoDB。

Jibbers McGee 發現，PyMongo 並未正確處理某些無效的 DBRefs。攻擊者可利用此問題造成 PyMongo 損毀，進而導致拒絕服務。

Jibbers McGee discovered that PyMongo, a high-performance schema-free document-oriented data store, is prone to a denial-of-service vulnerability.

An attacker can remotely trigger a NULL pointer dereference causing MongoDB to crash.

The oldstable distribution (squeeze) is not affected by this issue.

This update of pymongo fixes a NULL pointer issue.

  - Add Fix-null-pointer-when-decoding-invalid-DBRef.patch

  - Fixed user-triggerable NULL pointer dereference due to     utter plebbery (CVE-2013-2132, bnc#822798)

Jibbers McGee 发现 PyMongo 错误地处理某些无效 DBRef。攻击者可利用此问题使 PyMongo 崩溃，从而导致拒绝服务。

pymongo のこの更新は、NULL ポインター問題を修正します。

- Fix-null-pointer-when-decoding-invalid-DBRef.patch を追加します

- 完全に不良なコードによってユーザーが発生可能な NULL ポインターデリファレンスを修正しました（CVE-2013-2132、bnc#822798）

Jibbers McGee 氏は、高性能のスキーマフリーでドキュメント指向のデータストアである PyMongo がサービス拒否に脆弱であることを発見しました。

攻撃者が、NULL ポインターデリファレンスをリモートで引き起こし、MongoDB をクラッシュさせる可能性があります。

旧安定版（oldstable）ディストリビューション（squeeze）は、この問題の影響を受けません。

pymongo 的此更新修复空指针问题。

- 添加 Fix-null-pointer-when-decoding-invalid-DBRef.patch

- 修复了绝对 plebbery 造成的，用户可触发的空指针取消引用（CVE-2013-2132、bnc#822798）

Jibbers McGee 发现 PyMongo（高性能、模式自由的面向文档的数据存储）容易受到拒绝服务漏洞的影响。

攻击者可远程触发空指针取消引用，从而造成 MongoDB 崩溃。

旧稳定发行版本 (squeeze) 不受此问题的影响。

此 pymongo 更新可修正一個 NULL 指標問題。

- 新增 Fix-null-pointer-when-decoding-invalid-DBRef.patch

- 修正因為 utter plebbery 而導致的使用者可觸發之 NULL 指標解除參照 (CVE-2013-2132、bnc#822798)

Jibbers McGee 發現，PyMongo (一種高效能的無配置文件導向資料存放庫) 容易受到一個拒絕服務弱點影響。

攻擊者可從遠端觸發 NULL 指標解除參照，進而造成 MongoDB 損毀。

舊的穩定發行版本 (squeeze) 不會受此問題影響。

ID	名稱	產品	系列	已發布	已更新	嚴重性
67188	Ubuntu 12.04 LTS / 12.10 / 13.04 : pymongo vulnerability (USN-1897-1)	Nessus	Ubuntu Local Security Checks	2013/7/5	2019/9/19	medium
76662	RHEL 6 : mongodb and pymongo (RHSA-2013:1170)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76662	RHEL 6：MRG（RHSA-2013:1170）	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
67188	Ubuntu 12.04 LTS / 12.10 / 13.04：pymongo の脆弱性（USN-1897-1）	Nessus	Ubuntu Local Security Checks	2013/7/5	2019/9/19	medium
76662	RHEL 6：MRG (RHSA-2013:1170)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76662	RHEL 6：MRG (RHSA-2013:1170)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
67188	Ubuntu 12.04 LTS / 12.10 / 13.04：pymongo 弱點 (USN-1897-1)	Nessus	Ubuntu Local Security Checks	2013/7/5	2019/9/19	medium
66851	Debian DSA-2705-1 : pymongo - denial of service	Nessus	Debian Local Security Checks	2013/6/11	2021/1/11	medium
75053	openSUSE Security Update : python-pymongo / python3-pymongo (openSUSE-SU-2013:1064-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
67188	Ubuntu 12.04 LTS / 12.10 / 13.04：pymongo 漏洞 (USN-1897-1)	Nessus	Ubuntu Local Security Checks	2013/7/5	2019/9/19	medium
75053	openSUSE のセキュリティ更新：python-pymongo / python3-pymongo（openSUSE-SU-2013：1064-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
66851	Debian DSA-2705-1：pymongo - サービス拒否	Nessus	Debian Local Security Checks	2013/6/11	2021/1/11	medium
75053	openSUSE 安全更新：python-pymongo / python3-pymongo (openSUSE-SU-2013:1064-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
66851	Debian DSA-2705-1：pymongo - 拒绝服务	Nessus	Debian Local Security Checks	2013/6/11	2021/1/11	medium
75053	openSUSE 安全性更新：python-pymongo / python3-pymongo (openSUSE-SU-2013:1064-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
66851	Debian DSA-2705-1：pymongo - 拒絕服務	Nessus	Debian Local Security Checks	2013/6/11	2021/1/11	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium