Red Hat Enterprise Virtualization Manager 3.5.0 is now available.

Red Hat Product Security has rated this update as having Important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat Enterprise Virtualization Manager is a visual tool for centrally managing collections of virtual servers running Red Hat Enterprise Linux and Microsoft Windows. This package also includes the Red Hat Enterprise Virtualization Manager API, a set of scriptable commands that give administrators the ability to perform queries and operations on Red Hat Enterprise Virtualization Manager.

The Manager is a JBoss Application Server application that provides several interfaces through which the virtual environment can be accessed and interacted with, including an Administration Portal, a User Portal, and a Representational State Transfer (REST) Application Programming Interface (API).

It was discovered that the HttpClient incorrectly extracted the host name from an X.509 certificate subject's Common Name (CN) field. A man-in-the-middle attacker could use this flaw to spoof an SSL server using a specially crafted X.509 certificate. (CVE-2012-6153, CVE-2014-3577)

A Cross-Site Request Forgery (CSRF) flaw was found in the oVirt REST API. A remote attacker could provide a specially crafted web page that, when visited by a user with a valid REST API session, would allow the attacker to trigger calls to the oVirt REST API.
(CVE-2014-0151)

It was found that the oVirt web admin interface did not include the HttpOnly flag when setting session IDs with the Set-Cookie header.
This flaw could make it is easier for a remote attacker to hijack an oVirt web admin session by leveraging a cross-site scripting (XSS) vulnerability. (CVE-2014-0154)

The CVE-2012-6153 issue was discovered by Florian Weimer of Red Hat Product Security.

These updated Red Hat Enterprise Virtualization Manager packages also include numerous bug fixes and various enhancements. Space precludes documenting all of these changes in this advisory. Users are directed to the Red Hat Enterprise Virtualization 3.5 Manager Release Notes document, linked to in the References, for information on the most significant of these changes.

All Red Hat Enterprise Virtualization Manager users are advised to upgrade to these updated packages, which resolve these issues and add these enhancements.

Red Hat Enterprise Virtualization Manager 3.5.0 が、現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise Virtualization Manager は、Red Hat Enterprise Linux および Microsoft Windows を実行する仮想サーバーのコレクションを集中的に管理するための仮想ツールです。このパッケージには、管理者による Red Hat Enterprise Virtualization Manager 上でのクエリと操作の実行を可能にする、スクリプト可能なコマンドセットである Red Hat Enterprise Virtualization Manager API も含まれています。

このマネージャーは JBoss Application Server アプリケーションであり、管理ポータル、ユーザーポータル、および Representational State Transfer（REST）アプリケーションプログラミングインターフェイス（API）を含む、仮想環境へのアクセスおよび相互作用が可能な複数のインターフェイスを提供します。

HttpClient が X.509 証明書サブジェクトのコモンネーム（CN）フィールドからホスト名を不適切に抽出していることが判明しました。中間者攻撃者によってこの欠陥が使用されて、特別に細工された X.509 証明書を使用し、SSL サーバーが偽装されることがありました。（CVE-2012-6153、 CVE-2014-3577）

oVirt REST API に、クロスサイトリクエスト偽造（CSRF）の欠陥が見つかりました。リモートの攻撃者が、特別に細工された Web ページを提供する可能性があります。このため、有効な REST API セッションによってユーザーがこのページにアクセスすると、攻撃者が、oVirt REST API に対する呼び出しを発生させる可能性があります。
(CVE-2014-0151)

oVirt Web 管理者インターフェイスが、Set-Cookie ヘッダーでセッション ID を設定する際に HttpOnly フラグを含めていないことが見つかりました。
この欠陥により、リモートの攻撃者が、クロスサイトスクリプティング（XSS）の脆弱性を利用して oVirt Web 管理者セッションをハイジャックしやすくなる可能性があります。(CVE-2014-0154)

CVE-2012-6153 の問題は、 Red Hat 製品セキュリティの Florian Weimer によって検出されました。

これらの更新済み Red Hat Enterprise Virtualization Manager パッケージには、多くのバグ修正と多数の強化も含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。ユーザーは「参照」でリンクされている Red Hat Enterprise Virtualization 3.5 マネージャーリリースノートのドキュメントに移動して、これらの変更に関する最も重要な情報を参照できます。

Red Hat Enterprise Virtualization Manager の全ユーザーはこれらの更新済みパッケージへアップグレードし、これらの問題を解決し、強化を追加することを推奨します。

現已提供 Red Hat Enterprise Virtualization Manager 3.5.0 版。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 是一種視覺化工具，可用於集中管理執行 Red Hat Enterprise Linux 和 Microsoft Windows 的虛擬伺服器集合。此套件還提供 Red Hat Enterprise Virtualization Manager API，其為一組可編寫指令碼命令，讓系統管理員能在 Red Hat Enterprise Virtualization Manager 上執行查詢和其他作業。

Manager 是一種 JBoss Application Server 應用程式，提供多種介面，可讓使用者透過這些介面存取虛擬環境並與之互動，包括：管理入口網站、使用者入口網站，以及具象狀態傳輸 (REST) 應用程式開發介面 (API)。

據發現，HttpClient 從 X.509 憑證主體的共用名稱 (CN) 欄位錯誤地擷取主機名稱。攔截式攻擊者可利用此瑕疵，使用特製的 X.509 憑證偽造 SSL 伺服器。(CVE-2012-6153、CVE-2014-3577)

在 oVirt REST API 中發現一個跨網站要求偽造 (CSRF) 瑕疵。遠端攻擊者可提供特製的網頁，該網頁由具有有效 REST API 工作階段的使用者造訪時，可允許攻擊者觸發對 oVirt REST API 的呼叫。
(CVE-2014-0151)

據發現，oVirt Web 管理介面在以 Set-Cookie 標頭設定工作階段 ID 時並未包含 HttpOnly 旗標。
此瑕疵讓遠端攻擊者更容易利用跨網站指令碼 (XSS) 弱點劫持 oVirt Web 管理工作階段。(CVE-2014-0154)

CVE-2012-6153 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

這些更新版 Red Hat Enterprise Virtualization Manager 套件也內含數個錯誤修正和多種增強功能。因空間所限，無法在此公告中記錄所有這些變更。系統會將使用者導向至＜參照＞一節中的 Red Hat Enterprise Virtualization Manager 3.5「版本資訊」文件連結，以便其了解這些變更中最重要項目的資訊。

建議所有 Red Hat Enterprise Virtualization Manager 使用者皆升級至這些更新版套件，其可解決這些問題並新增這些增強功能。

Red Hat Enterprise Virtualization Manager 3.5.0 现在可用。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 是可视化工具，用于集中管理运行 Red Hat Enterprise Linux 和 Microsoft Windows 的虚拟服务器的集合。此程序包也包括 Red Hat Enterprise Virtualization Manager API，即一组可编脚本的命令，使管理员能够执行有关 Red Hat Enterprise Virtualization Manager 的查询和操作。

Manager 是 JBoss Application Server 应用程序，该用应程序提供了多个界面，可通过这些界面访问虚拟环境并与之交互，其中包括管理门户、用户门户以及表述性状态转移 (REST) 应用程序编程接口 (API)。

已发现 HttpClient 错误地从 X.509 证书主题的公用名 (CN) 字段中提取主机名。中间人攻击者可利用此缺陷，使用特别构建的 X.509 证书欺骗 SSL 服务器。（CVE-2012-6153、CVE-2014-3577）

在 oVirt REST API 中发现一个跨站请求伪造 (CSRF) 缺陷。远程攻击者可提供特别构建的网页，由具备有效 REST API 会话的用户访问后，将允许攻击者触发对 oVirt REST API 的调用。
(CVE-2014-0151)

已发现在设置具有 Set-Cookie 标头的会话 ID 时 oVirt Web 管理员界面不包括 HttpOnly 标记。
此缺陷可使远程攻击者更容易通过利用跨站脚本 (XSS) 漏洞来劫持 oVirt Web 管理员会话。(CVE-2014-0154)

CVE-2012-6153 问题由 Red Hat 产品安全的 Florian Weimer 发现。

这些更新后的 Red Hat Enterprise Virtualization Manager 程序包也包含大量缺陷补丁和各种增强。空间有限，无法在此公告中记载所有这些更改。有关这些最重要的变更的信息，用户可参阅在“参考”部分中链接的 Red Hat Enterprise Virtualization 3.5 Manager 发行说明文档。

建议所有 Red Hat Enterprise Virtualization Manager 用户升级这些更新后的程序包其中解决了这些问题并添加这些增强。

ID	名稱	產品	系列	已發布	已更新	嚴重性
85712	RHEL 6 : Virtualization Manager (RHSA-2015:0158)	Nessus	Red Hat Local Security Checks	2015/9/1	2019/10/24	medium
85712	RHEL 6：Virtualization Manager（RHSA-2015:0158）	Nessus	Red Hat Local Security Checks	2015/9/1	2019/10/24	medium
85712	RHEL 6：Virtualization Manager (RHSA-2015:0158)	Nessus	Red Hat Local Security Checks	2015/9/1	2019/10/24	medium
85712	RHEL 6：Virtualization Manager (RHSA-2015:0158)	Nessus	Red Hat Local Security Checks	2015/9/1	2019/10/24	medium

偵測

搜尋 Plugin

medium

medium

medium

medium