現已提供 Red Hat Enterprise Virtualization Manager 3.4 版。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 是一種視覺化工具，可用於集中管理執行 Red Hat Enterprise Linux 和 Microsoft Windows 的虛擬伺服器集合。此套件還提供 Red Hat Enterprise Virtualization Manager API，其為一組可編寫指令碼命令，讓系統管理員能在 Red Hat Enterprise Virtualization Manager 上執行查詢和其他作業。

Manager 是一種 JBoss Application Server 應用程式，提供多種介面，可讓使用者透過這些介面存取虛擬環境並與之互動，包括：管理入口網站、使用者入口網站，以及具象狀態傳輸 (REST) 應用程式開發介面 (API)。

據發現，oVirt Web 系統管理員介面在驗證使用者後，並未產生新的工作階段 ID。遠端攻擊者可利用此瑕疵發動工作階段固定攻擊。(CVE-2014-0152)

據發現，oVirt Web 系統管理員介面會將工作階段 ID 存於 HTML5 本機存放區中。遠端攻擊者可提供特製網頁，其在具有有效 REST API 工作階段的使用者造訪時，會允許攻擊者從本機存放區讀取工作階段 ID。由於 HTML5 本機存放區並未受到同源原則 (SOP) 的保護，所以上述情形可能會發生。(CVE-2014-0153)

這些更新版 Red Hat Enterprise Virtualization Manager 套件也內含數個錯誤修正和多種增強功能。因空間所限，無法在此公告中記錄所有這些變更。系統會將使用者導向至 Red Hat Enterprise Virtualization 3.4「技術提示」 (可從〈參照〉一節中的連結取得)，供其瞭解最重要變更之資訊。

建議所有 Red Hat Enterprise Virtualization Manager 使用者皆升級至這些更新版套件，其可解決這些問題並新增這些增強功能。

Red Hat Enterprise Virtualization Manager 3.4 现在可用。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 是可视化工具，用于集中管理运行 Red Hat Enterprise Linux 和 Microsoft Windows 的虚拟服务器的集合。此程序包也包括 Red Hat Enterprise Virtualization Manager API，即一组可编脚本的命令，使管理员能够执行有关 Red Hat Enterprise Virtualization Manager 的查询和操作。

Manager 是 JBoss Application Server 应用程序，该用应程序提供了多个界面，可通过这些界面访问虚拟环境并与之交互，其中包括管理门户、用户门户以及表述性状态转移 (REST) 应用程序编程接口 (API)。

已发现 oVirt Web 管理接口在认证用户之后不生成新会话 ID。远程攻击者可利用此缺陷执行会话固定攻击。(CVE-2014-0152)

已发现 oVirt Web 管理接口在 HTML5 本地存储中存储会话 ID。远程攻击者可提供一个特别构建的网页，当用户通过有效 REST API 会话访问该网页时，将允许攻击者从本地存储读取会话 ID。这可能是因为 HTML5 本地存储不受同源策略 (SOP) 保护。(CVE-2014-0153)

这些更新后的 Red Hat Enterprise Virtualization Manager 程序包也包含大量缺陷补丁和各种增强。空间有限，无法在此公告中记载所有这些更改。有关这些最重要的变更的信息，用户可参阅在“参考”部分中链接的 Red Hat Enterprise Virtualization 3.4 技术札记。

建议所有 Red Hat Enterprise Virtualization Manager 用户升级这些更新后的程序包其中解决了这些问题并添加这些增强。

Red Hat Enterprise Virtualization Manager 3.4 が現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise Virtualization Manager は、Red Hat Enterprise Linux および Microsoft Windows を実行する仮想サーバーのコレクションを集中的に管理するための仮想ツールです。このパッケージには、管理者による Red Hat Enterprise Virtualization Manager 上でのクエリと操作の実行を可能にする、スクリプト可能なコマンドセットである Red Hat Enterprise Virtualization Manager API も含まれています。

このマネージャーは JBoss Application Server アプリケーションであり、管理ポータル、ユーザーポータル、および Representational State Transfer（REST）アプリケーションプログラミングインターフェイス（API）を含む、仮想環境へのアクセスおよび相互作用が可能な複数のインターフェイスを提供します。

oVirt Web 管理者インターフェイスが、ユーザーを認証した後に、新しいセッション ID を生成しなかったことが判明しました。リモートの攻撃者が、この欠陥を利用して、セッション固定攻撃を仕掛ける可能性があります。（CVE-2014-0152）

oVirt Web 管理者インターフェイスが、セッション ID を HTML5 ローカルストレージに保存していることが判明しました。リモートの攻撃者が、特別に細工された Web ページを提供する可能性があるため、有効な REST API セッションを持つユーザーがこのページにアクセスすると、攻撃者が、ローカルストレージからセッション ID を読み取ることができる可能性があります。HTML5 ローカルストレージが同一生成元ポリシー（SOP）により保護されていないため、これは可能になります。（CVE-2014-0153）

これらの更新済み Red Hat Enterprise Virtualization Manager パッケージには、多くのバグ修正と多数の強化も含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。ユーザーは「参照」でリンクされている Red Hat Enterprise Virtualization 3.4 テクニカルノートに移動し、これらの変更に関する最も重要な情報を参照できます。

Red Hat Enterprise Virtualization Manager の全ユーザーはこれらの更新済みパッケージへアップグレードし、これらの問題を解決し、強化を追加することを推奨します。

Red Hat Enterprise Virtualization Manager 3.4 is now available.

The Red Hat Security Response Team has rated this update as having Moderate security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat Enterprise Virtualization Manager is a visual tool for centrally managing collections of virtual servers running Red Hat Enterprise Linux and Microsoft Windows. This package also includes the Red Hat Enterprise Virtualization Manager API, a set of scriptable commands that give administrators the ability to perform queries and operations on Red Hat Enterprise Virtualization Manager.

The Manager is a JBoss Application Server application that provides several interfaces through which the virtual environment can be accessed and interacted with, including an Administration Portal, a User Portal, and a Representational State Transfer (REST) Application Programming Interface (API).

It was found that the oVirt web admin interface did not generate a new session ID after authenticating a user. A remote attacker could use this flaw to perform session fixation attacks. (CVE-2014-0152)

It was found that the oVirt web admin interface stored session IDs in HTML5 local storage. A remote attacker could provide a specially crafted web page that, when visited by a user with a valid REST API session, would allow the attacker to read the session ID from local storage. This is possible because HTML5 local storage is not protected by the same-origin policy (SOP). (CVE-2014-0153)

These updated Red Hat Enterprise Virtualization Manager packages also include numerous bug fixes and various enhancements. Space precludes documenting all of these changes in this advisory. Users are directed to the Red Hat Enterprise Virtualization 3.4 Technical Notes, linked to in the References, for information on the most significant of these changes.

All Red Hat Enterprise Virtualization Manager users are advised to upgrade to these updated packages, which resolve these issues and add these enhancements.

ID	名稱	產品	系列	已發布	已更新	嚴重性
79019	RHEL 6：Virtualization Manager (RHSA-2014:0506)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
79019	RHEL 6：Virtualization Manager (RHSA-2014:0506)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
79019	RHEL 6：Virtualization Manager（RHSA-2014:0506）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
79019	RHEL 6 : rhevm (RHSA-2014:0506)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium