The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Luci in Red Hat Conga does not properly enforce the user session timeout, which might allow attackers to     gain access to the session by reading the __ac session cookie. NOTE: this issue has been SPLIT due to     different vulnerability types. Use CVE-2012-3359 for the base64-encoded storage of the user and password     in a cookie. (CVE-2013-7347)

Note that Nessus relies on the presence of the package as reported by the vendor.

Updated conga packages that fix one security issue, multiple bugs, and add two enhancements are now available for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having low security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

The Conga project is a management system for remote workstations. It consists of luci, which is a secure web-based front end, and ricci, which is a secure daemon that dispatches incoming messages to underlying management modules.

It was discovered that luci stored usernames and passwords in session cookies. This issue prevented the session inactivity timeout feature from working correctly, and allowed attackers able to get access to a session cookie to obtain the victim's authentication credentials.
(CVE-2012-3359)

Red Hat would like to thank George Hedfors of Cybercom Sweden East AB for reporting this issue.

This update also fixes the following bugs :

* Prior to this update, luci did not allow the fence_apc_snmp agent to be configured. As a consequence, users could not configure or view an existing configuration for fence_apc_snmp. This update adds a new screen that allows fence_apc_snmp to be configured. (BZ#832181)

* Prior to this update, luci did not allow the SSL operation of the fence_ilo fence agent to be enabled or disabled. As a consequence, users could not configure or view an existing configuration for the 'ssl' attribute for fence_ilo. This update adds a checkbox to show whether the SSL operation is enabled and allows users to edit that attribute. (BZ#832183)

* Prior to this update, luci did not allow the 'identity_file' attribute of the fence_ilo_mp fence agent to be viewed or edited. As a consequence, users could not configure or view an existing configuration for the 'identity_file' attribute of the fence_ilo_mp fence agent. This update adds a text input box to show the current state of the 'identity_file' attribute of fence_ilo_mp and allows users to edit that attribute. (BZ#832185)

* Prior to this update, redundant files and directories remained on the file system at /var/lib/luci/var/pts and /usr/lib{,64}/luci/zope/var/pts when the luci package was uninstalled.
This update removes these files and directories when the luci package is uninstalled. (BZ#835649)

* Prior to this update, the 'restart-disable' recovery policy was not displayed in the recovery policy list from which users could select when they configure a recovery policy for a failover domain. As a consequence, the 'restart-disable' recovery policy could not be set with the luci GUI. This update adds the 'restart-disable' recovery option to the recovery policy pulldown list. (BZ#839732)

* Prior to this update, line breaks that were not anticipated in the 'yum list' output could cause package upgrade and/or installation to fail when creating clusters or adding nodes to existing clusters. As a consequence, creating clusters and adding cluster nodes to existing clusters could fail. This update modifies the ricci daemon to be able to correctly handle line breaks in the 'yum list' output. (BZ#842865)

In addition, this update adds the following enhancements :

* This update adds support for configuring the Intel iPDU fence agent to the luci package. (BZ#741986)

* This update adds support for viewing and changing the state of the new 'nfsrestart' attribute to the FS and Cluster FS resource agent configuration screens. (BZ#822633)

All users of conga are advised to upgrade to these updated packages, which resolve these issues and add these enhancements. After installing this update, the luci and ricci services will be restarted automatically.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Red Hat Conga の Luci は、ユーザーセッションタイムアウトを適切に実施していないため、攻撃者が __ac セッションクッキーを読み取ることで、セッションにアクセスできる可能性があります。注：脆弱性の種類が異なるため、この問題は分割されました。base64 でエンコードされたユーザーとパスワードをクッキーに保存するために CVE-2012-3359 を使用してください。 （CVE-2013-7347）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

1 つのセキュリティ問題と複数のバグを修正し、2 つの拡張機能を追加する更新済みの conga パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Conga プロジェクトは、リモートワークステーション用の管理システムです。これはセキュアな Web ベースのフォントエンドの luci および、下層の管理モジュールに対するメッセージを送信するセキュアなデーモンの riccci から成ります。

luci がユーザー名およびパスワードをセッションクッキーで保存していたことが判明しました。この問題により、セッションの非アクティブタイムアウト機能が適切に動作せず、攻撃者はセッションクッキーへのアクセスを取得でき、被害者の認証情報を取得できました。
(CVE-2012-3359)

Red Had は、この問題を報告してくれたCybercom Sweden East AB の George Hedfors 氏に感謝の意を表します。

この更新は以下のバグも修正します：

* この更新以前は、luci は、fence_apc_snmp エージェントの構成を許可していませんでした。その結果、ユーザーは fence_apc_snmp の構成を行うことや、既存の構成を表示することはできませんでした。この更新では、fence_apc_snmp の構成を可能にする新しい画面が追加されています。（BZ#832181）

* この更新以前では、luci は fence_ilo フェンスエージェントの SSL 操作の有効化または無効化を許可していませんでした。その結果、ユーザーは、fence_iloに対する「ssl」属性の構成を行うことや、既存の構成を表示するこはできませんでした。この更新では、SSL 操作が有効化されているかを示すチェックボックスが追加され、ユーザーによる属性の編集が許可されています。（BZ#832183）

* この更新以前では、luci は、fence_ilo_mp フェンスエージェントの「identity_file」属性の表示または編集を許可していませんでした。その結果、ユーザーは、fence_ilo_mp フェンスエージェントの「identity_file」属性の構成を行うことや、既存の構成を表示することはできませんでした。この更新では、fence_ilo_mp の「identity_file」属性の現在の状態を表示するテキスト入力ボックスが追加され、ユーザーによる属性の編集が許可されています。（BZ#832185）

* この更新以前では、luci パッケージがアンインストールされた際、重複したファイルおよびディレクトリが、/var/lib/luci/var/pts および /usr/lib{,64}/luci/zope/var/pts のシステムファイルに留まっていました。
この更新では、luci パッケージがアンインストールされた際に、これらのファイルやディレクトリが削除されます。（BZ#835649）

* この更新以前では、ユーザーがフェイルオーバードメインに対してリカバリポリシーを構成する際に選択できたリカバリポリシーリストに、「restart-disable」リカバリポリシーが表示されていませんでした。結果として「restart-disable」リカバリポリシーは luci GUI で設定できませんでした。この更新では、「restart-disable」リカバリオプションがリカバリポリシープルダウンリストに追加されています。（BZ#839732）

* この更新以前では、「yum list」出力には予想されていない改行により、クラスターを作成する際や既存のクラスターにノードを追加する際に、パッケージのアップグレードやインストールが失敗する可能性があります。結果としてクラスターの作成や既存クラスターへのノードの追加が失敗することがありました。この更新では、「yum list」出力において改行を適切に処理できるように ricci デーモンを変更しています。（BZ#842865）

また、この更新は以下の拡張機能も追加します：

* この更新では、luci パッケージに対する Intel iPDU フェンスエージェントの構成サポートが追加されています。（BZ#741986）

* この更新では、FS およびクラスター FS リソースエージェント構成画面に対する、新しい「nfsrestart」属性の状態の表示や変更サポートが追加されています。（BZ#822633）

conga の全ユーザーはこれらの更新済みパッケージへアップグレードし、これらの問題を解決し、これらの拡張機能を追加する必要があります。この更新をインストールすると、luci および ricci サービスは自動的に再起動されます。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Red Hat Conga 中的 Luci 未正確強制執行使用者工作階段逾時，這可能會讓攻擊者透過讀取 __ac 工作階段 cookie 取得工作階段的存取權。注意：此問題因不同的弱點類型而已分割。針對 Cookie 中使用者和密碼的 base64 編碼儲存空間，使用 CVE-2012-3359 。 (CVE-2013-7347)

請注意，Nessus 依賴供應商報告的套件存在。

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 conga 套件，可修正一個安全性問題、多個錯誤，並新增兩個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Conga 專案是一種遠端工作站的管理系統。其中包含 luci (安全的網路型前端) 和 ricci (將傳入訊息發送至基礎管理模組的安全程序)。

據發現，luci 將使用者名稱和密碼儲存在工作階段 Cookie 中。此問題使工作階段閒置逾時功能無法正常運作，並允許攻擊者存取工作階段 Cookie，以取得受害者的驗證認證。
(CVE-2012-3359)

Red Hat 要感謝 Cybercom Sweden East AB 的 George Hedfors 報告此問題。

此更新也可修正下列錯誤：

* 在此更新版本之前，luci 並不允許設定 fence_apc_snmp 代理程式。因此，使用者無法設定或檢視 fence_apc_snmp 的現有組態。此更新會新增可設定 fence_apc_snmp 的新畫面。(BZ#832181)

* 在此更新版本之前，luci 並不允許啟用或停用 fence_ilo 隔離代理程式的 SSL 作業。因此，使用者無法設定或檢視 fence_ilo 之「ssl」屬性的現有組態。此更新會新增一個核取方塊，以顯示是否已啟用 SSL 作業，並允許使用者編輯該屬性。(BZ#832183)

* 在此更新版本之前，luci 並不允許檢視或編輯 fence_ilo_mp 隔離代理程式的「identity_file」屬性。因此，使用者無法設定或檢視 fence_ilo_mp 隔離代理程式之「identity_file」屬性的現有組態。此更新會新增一個文字輸入方塊，以顯示 fence_ilo_mp 之「identity_file」屬性的目前狀態，並允許使用者編輯該屬性。(BZ#832185)

* 在此更新版本之前，如果未安裝 luci 套件，多餘的檔案和目錄會保留在 /var/lib/luci/var/pts 和 /usr/lib{,64}/luci/zope/var/pts 的檔案系統中。
此更新會在 luci 套件解除安裝後移除這些檔案和目錄。(BZ#835649)

* 在此更新版本之前，「restart-disable」復原原則並未顯示於復原原則清單中，使用者可在設定容錯移轉網域之復原原則時選取該清單中的原則。因此，無法以 luci GUI 設定「restart-disable」復原原則。此更新會新增「restart-disable」復原選項至復原原則下拉式清單。(BZ#839732)

* 在此更新版本之前，「yum list」輸出所未預期的換行符號，可在建立叢集或新增節點至現有叢集時，造成套件升級和/或安裝失敗。因此，無法建立叢集，或新增叢集節點至現有叢集。此更新會修改 ricci 程序，讓其得以正確處理「yum list」輸出的換行符號。(BZ#842865)

此外，此更新還新增了下列增強功能：

* 此更新新增支援，適用於將 Intel iPDU 隔離代理程式設定至 luci 套件。(BZ#741986)

* 此更新新增支援，適用於檢視新「nfsrestart」屬性的狀態，並將其變更至 FS 和 Cluster FS 資源代理程式組態畫面。(BZ#822633)

建議所有 conga 使用者皆升級至這些更新版套件，其可解決這些問題並新增這些增強功能。安裝此更新後，luci 和 ricci 服務將會自動重新啟動。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Red Hat Conga 中的 Luci 未正确强制实施用户会话超时，这可能允许攻击者通过读取 __ac 会话 Cookie，获得会话的访问权限。注意：由于存在不同的漏洞类型，已将此问题拆分为 。针对 Cookie 中用户和密码的 base64 编码存储使用 CVE-2012-3359 。 (CVE-2013-7347)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

更新后的 conga 程序包修复了一个安全问题和多种缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Conga 项目是远程工作站的管理系统。它包括 luci 和 ricci 两部分，前者是一款基于 Web 的安全前端，而后者是一款将传入消息分发到底层管理模块的安全后台程序。

已发现 luci 可在会话 Cookie 中存储用户名和密码。此问题可阻止会话非活动超时功能正确运行，并允许攻击者访问会话 Cookie，从而获得受害者的认证凭据。
(CVE-2012-3359)

Red Hat 在此感谢 Cybercom Sweden East AB 的 George Hedfors 报告此问题。

此更新还修复以下缺陷：

* 在此更新之前，luci 不允许配置 fence_apc_snmp 代理。因此，用户不能配置 fence_apc_snmp 或查看其现有配置。此更新添加了一个新屏幕，允许配置 fence_apc_snmp。(BZ#832181)

* 在此更新之前，luci 不允许启用或禁用 fence_ilo fence 代理的 SSL 操作。因此，用户不能配置 fence_ilo 的“ssl”属性或查看其现有配置。此更新添加了一个显示 SSL 操作是否启用的复选框，允许用户编辑该属性。(BZ#832183)

* 在此更新之前，luci 不允许查看或编辑 fence_ilo_mp fence 代理的“identity_file”属性。因此，用户不能配置 fence_ilo_mp fence 代理的“identity_file”属性或查看其现有配置。此更新添加了一个显示 fence_ilo_mp 的“identity_file”属性当前状态的文本输入框，允许用户编辑该属性。(BZ#832185)

* 在此更新之前，卸载 luci 程序包时，冗余文件和目录仍然保留在文件系统的 /var/lib/luci/var/pts 和 /usr/lib{,64}/luci/zope/var/pts 中。
此更新可在卸载 luci 程序包时删除这些文件和目录。(BZ#835649)

* 在此更新之前，“重启-禁用”恢复策略未显示在恢复策略列表中，因此用户不能在为故障转移域配置恢复策略时从中进行选择。因此，不能通过 luci GUI 设置“重启-禁用”恢复策略。此更新将“重启-禁用”恢复选项添加到恢复策略下拉列表中。(BZ#839732)

* 在此更新之前，“yum 列表”输出中非预期的换行符可在创建集群或添加节点到现有集群时引起程序包升级和/或安装失败。因此，创建集群以及添加集群节点到现有群集时失败。此更新修改了 ricci 后台程序，使其可正确处理“yum 列表”输出中的换行符。(BZ#842865)

此外，此更新还添加了以下增强：

* 此更新向 luci 程序包添加了对配置 Intel iPDU fence 代理的支持。(BZ#741986)

* 此更新向 FS 和集群 FS 资源代理配置屏幕添加了对查看和更改新“nfsrestart”属性状态的支持。(BZ#822633)

建议所有 conga 用户升级这些更新后的程序包，其中解决了这些问题并添加这些增强。安装此更新后，luci 和 ricci 服务将自动重新启动。

ID	名稱	產品	系列	已發布	已更新	嚴重性
218248	Linux Distros Unpatched Vulnerability : CVE-2013-7347	Nessus	Misc.	2025/3/4	2025/3/4	critical
63573	CentOS 5 : conga (CESA-2013:0128)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	low
218248	Linux Distros のパッチ未適用の脆弱性: CVE-2013-7347	Nessus	Misc.	2025/3/4	2025/3/4	critical
63573	CentOS 5：conga（CESA-2013:0128）	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	low
218248	Linux Distros 未修補弱點：CVE-2013-7347	Nessus	Misc.	2025/3/4	2025/3/4	critical
63573	CentOS 5 : conga (CESA-2013:0128)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	low
218248	Linux Distros 未修补的漏洞: CVE-2013-7347	Nessus	Misc.	2025/3/4	2025/3/4	critical
63573	CentOS 5：conga (CESA-2013:0128)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	low

偵測

搜尋 Plugin

critical

low

critical

low

critical

low

critical

low