An updated jasperreports-server-pro package that fixes two security issues, several bugs, and adds various enhancements is now available.

The Red Hat Security Response Team has rated this update as having moderate security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

The Red Hat Enterprise Virtualization reports package provides a suite of pre-configured reports and dashboards that enable you to monitor the system. The reports module is based on JasperReports and JasperServer, and can also be used to create ad-hoc reports.

Apache Axis did not verify that the server hostname matched the domain name in the subject's Common Name (CN) or subjectAltName field in X.509 certificates. This could allow a man-in-the-middle attacker to spoof an SSL server if they had a certificate that was valid for any domain name. (CVE-2012-5784)

A flaw was found in the Apache Hadoop RPC protocol. A man-in-the-middle attacker could possibly use this flaw to unilaterally disable bidirectional authentication between a client and a server, forcing a downgrade to simple (unidirectional) authentication. This flaw only affects users who have enabled Hadoop's Kerberos security features. (CVE-2013-2192)

This update fixes several bugs and adds multiple enhancements.
Documentation for these changes will be available shortly from the Technical Notes document linked to in the References section.

All jasperreports-server-pro users are advised to upgrade to this updated package, which contains backported patches to correct these issues and add these enhancements.

2 つのセキュリティの問題といくつかのバグを修正し、様々な拡張機能を追加する、更新済みの jasperreports-server-pro パッケージが現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise Virtualization レポートパッケージは、事前に構成されたレポートと、システムを監視することができるダッシュボードのパッケージを提供します。このレポートモジュールは JasperReports および JasperServer に基づいており、アドホックレポートの作成に使用することもできます。

Apache Axis は、サーバーホスト名が、 X.509 証明書において対象の Common Name（CN）または subjectAltName フィールドのドメイン名と一致しているかを検証していませんでした。これにより、すべてのドメイン名に有効であった証明書を所有していた場合、中間者攻撃は SSL サーバーの偽装を行うことができます。（CVE-2012-5784）

Apache Hadoop RPC プロトコルに欠陥が見つかりました。中間者攻撃者がこの欠陥を利用して、クライアントとサーバー間での双方向認証を一方的に無効にし、単純な（単方向）認証へダウングレードさせる可能性があります。この欠陥が影響するのは、Hadoop の Kerberos セキュリティ機能を有効にしているユーザーのみです。（CVE-2013-2192）

この更新では、いくつかのバグが修正され、複数の拡張機能が追加されます。
これらの変更に関するドキュメントは、「参照」セクションでリンクされているテクニカルノートドキュメントから、間もなく入手できるようになります。

jasperreports-server-pro の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

現已提供更新版 jasperreports-server-pro 套件，其可修正兩個安全性問題、數個錯誤，並新增多種增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization 報告，套件提供了一組預先設定的報告和儀表板，可讓您監控系統。報告模組是以 JasperReports 和 JasperServer 為基礎，也可用於建立特定報告。

Apache Axis 並未驗證伺服器主機名稱是否與主體之共用名稱 (CN) 中的網域名稱或 X.509 憑證的 subjectAltName 欄位相符。如果攔截式攻擊者擁有適用於任何網域名稱的憑證，這可允許其偽造 SSL 伺服器。(CVE-2012-5784)

在 Apache Hadoop RPC 通訊協定中發現一個瑕疵。攔截式攻擊者可能利用此瑕疵，單方面停用用戶端和伺服器之間的雙向驗證，進而強制將其降級為簡單 (單向) 驗證。此瑕疵只會影響已啟用 Hadoop 的 Kerberos 安全性功能之使用者。(CVE-2013-2192)

此更新可修正數個錯誤，並新增多個增強功能。
這些變更的相關文件近期將可從＜參照＞一節中的「技術提示」文件連結中取得。

建議所有 jasperreports-server-pro 使用者皆升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

现已提供更新后的 jasperreports-server-pro 程序包，修复了两个安全问题和若干缺陷，并添加了多项增强。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization 报告程序包提供预配置报告的套件和仪表板，可通过这些报告和仪表板来监控系统。报告模块基于 JasperReports 和 JasperServer，并且还可用于创建临时报告。

Apache Axis 未验证服务器主机名是否与 X.509 证书中主题公用名 (CN) 或 subjectAltName 字段中的域名匹配。这可允许中间人攻击者在拥有对任何域名有效的证书时欺骗 SSL 服务器。(CVE-2012-5784)

在 Apache Hadoop RPC 协议中发现一个缺陷。中间人攻击者可能利用此缺陷，单方面禁用客户端和服务器之间的双向认证，从而强制降级到简单（单向）认证。此缺陷仅影响已启用 Hadoop 的 Kerberos 安全功能的用户。(CVE-2013-2192)

此更新修复了数个缺陷并增加了多个增强。
“参考”部分链接的技术札记文档中近期将提供这些更改的文档。

建议所有 jasperreports-server-pro 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序并添加这些增强。

ID	名稱	產品	系列	已發布	已更新	嚴重性
78992	RHEL 6 : jasperreports-server-pro (RHSA-2014:0037)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78992	RHEL 6：jasperreports-server-pro（RHSA-2014:0037）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78992	RHEL 6 : jasperreports-server-pro (RHSA-2014:0037)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78992	RHEL 6：jasperreports-server-pro (RHSA-2014:0037)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium