An updated rhevm-reports package that fixes three security issues and one bug is now available.

The Red Hat Security Response Team has rated this update as having Low security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

The Red Hat Enterprise Virtualization reports package provides a suite of pre-configured reports and dashboards that enable you to monitor the system. The reports module is based on JasperReports and JasperServer, and can also be used to create ad-hoc reports.

It was found that the ovirt-engine-reports setup script logged the reports database password in plain text to a world-readable file. An attacker with a local user account on the Red Hat Enterprise Virtualization Manager server could use this flaw to access, read, and modify the reports database. (CVE-2014-0199)

Note: Applying the update provided by this advisory does not modify any existing log files. It is recommended that you search your existing log files and remove any occurrences of plain text passwords manually.

It was found that the Red Hat Enterprise Virtualization Manager reports datasource configuration file (js-jboss7-ds.xml) was world-readable. An attacker with a local user account on the Red Hat Enterprise Virtualization Manager server could use this flaw to access, read, and modify the reports database. (CVE-2014-0200)

It was found that multiple ovirt-engine-reports configuration files were world-readable. An attacker with a local user account on the Red Hat Enterprise Virtualization Manager server could use this flaw to access a variety of potentially sensitive information. (CVE-2014-0201)

These issues were discovered by Red Hat.

This update also fixes the following bug :

* Previously, rhevm-reports-setup failed if the default spacing of the pg_hba.conf file was manually modified. Now, the command does not check exact spacing in the file, and setup completes successfully.
(BZ#1085374)

All rhevm-reports users are advised to upgrade to this updated package, which corrects these issues.

3 つのセキュリティ問題と 1 つのバグを修正する更新済みの rhevm-reports パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise Virtualization レポートパッケージは、事前に構成されたレポートと、システムを監視することができるダッシュボードのパッケージを提供します。このレポートモジュールは JasperReports および JasperServer に基づいており、アドホックレポートの作成に使用することもできます。

ovirt-engine-reports セットアップスクリプトが、レポートデータベースのパスワードを、平文で誰でも読み取ることができるファイルに記録することが判明しました。Red Hat Enterprise Virtualization Manager サーバーにおいてローカルユーザーのアカウントを持つ攻撃者が、この欠陥を利用して、レポートデータベースにアクセスすることや、このデータベースの読み込み、変更を行う可能性があります。（CVE-2014-0199）

注：このアドバイザリが提供する更新を適用しても、既存のログファイルは変更されません。既存のログファイルを検索し、平文パスワードの出現を手動で削除することを推奨します。

Red Hat Enterprise Virtualization Manager レポートデータソース構成ファイル（js-jboss7-ds.xml）が、誰でも読み取り可能であることが判明しました。Red Hat Enterprise Virtualization Manager サーバーにおいてローカルユーザーのアカウントを持つ攻撃者が、この欠陥を利用して、レポートデータベースにアクセスすることや、このデータベースの読み込み、変更を行う可能性があります。（CVE-2014-0200）

複数の ovirt-engine-reports 構成ファイルが誰でも読み取り可能であることが判明しました。攻撃者が、Red Hat Enterprise Virtualization Manager サーバーのローカルユーザーのアカウントを持つ場合、この欠陥を利用して、多様な機密情報にアクセスできる可能性があります。（CVE-2014-0201）

これらの問題は、Red Hat により発見されました。

この更新では以下のバグも修正されます。

* 以前は、pg_hba.conf ファイルのデフォルトのスペースが手動で変更されている場合は、rhevm-reports-setup が失敗しました。今では、このコマンドは、ファイルの正確なスペースをチェックしないため、セットアップが正常に完了します。
（BZ#1085374）

rhevm-reports の全ユーザーは、この更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

更新后的 rhevm-reports 程序包修复了三个安全问题，现在可用。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization 报告程序包提供预配置报告的套件和仪表板，可通过这些报告和仪表板来监控系统。报告模块基于 JasperReports 和 JasperServer，并且还可用于创建临时报告。

发现 ovirt-engine-reports 设置脚本以明文方式将报告数据库密码记录在一个全局可读的文件中。在 Red Hat Enterprise Virtualization Manager 服务器上具有本地用户帐户的攻击者可利用此缺陷访问、读取和修改报告数据库。(CVE-2014-0199)

注意：应用此公告提供的更新不会修改任何现有日志文件。建议搜索现有日志文件并手动删除所有出现的明文密码。

发现 Red Hat Enterprise Virtualization Manager 将数据源配置文件 (js-jboss7-ds.xml) 报告为全局可读。在 Red Hat Enterprise Virtualization Manager 服务器上具有本地用户帐户的攻击者可利用此缺陷访问、读取和修改报告数据库。(CVE-2014-0200)

发现多种 ovirt-engine-reports 配置文件为全局可读。在 Red Hat Enterprise Virtualization Manager 服务器上拥有本地用户帐户的攻击者可使用此缺陷来访问各种潜在敏感信息。(CVE-2014-0201)

这些问题由 Red Hat 发现。

此更新还修复以下缺陷：

* 之前，如果手动修改了 pg_hba.conf 文件的默认间距，rhevm-reports-setup 会失败。现在，该命令不会检查文件中的实际间距，设置会成功完成。
(BZ#1085374)

建议所有 rhevm-reports 用户升级此更新后的程序包，该程序包修正了这些问题。

現已提供更新版 rhevm-reports 套件，可修正三個安全性問題和一個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization 報告，套件提供了一組預先設定的報告和儀表板，可讓您監控系統。報告模組是以 JasperReports 和 JasperServer 為基礎，也可用於建立特定報告。

據發現，ovirt-engine-reports 設定指令碼會在任何人皆可讀取的檔案中，以純文字記錄報告資料庫的密碼。在 Red Hat Enterprise Virtualization Manager 伺服器上具有本機使用者帳戶的攻擊者可利用此瑕疵，存取、讀取和修改報告資料庫。(CVE-2014-0199)

注意：套用此公告提供的更新並不會使任何現有的記錄檔遭到修改。建議您手動搜尋現有的記錄檔，並將出現的所有純文字密碼移除。

據發現，Red Hat Enterprise Virtualization Manager 報告資料來源組態檔 (js-jboss7-ds.xml) 為任何人皆可讀取。在 Red Hat Enterprise Virtualization Manager 伺服器上具有本機使用者帳戶的攻擊者可利用此瑕疵，存取、讀取和修改報告資料庫。(CVE-2014-0200)

據發現，有多個 ovirt-engine-reports 組態檔為任何人皆可讀取。在 Red Hat Enterprise Virtualization Manager 伺服器上具有本機使用者帳戶的攻擊者可利用此瑕疵，存取各種潛在敏感資訊。(CVE-2014-0201)

這些問題是由 Red Hat 所發現。

此更新也可修正下列錯誤：

* 先前，若 pg_hba.conf 檔案中的預設行距遭到手動修改，則 rhevm-reports-setup 會執行失敗。現在，命令不會檢查檔案中的確切行距，因此設定可順利完成。
(BZ#1085374)

建議所有 rhevm-reports 使用者皆升級至此更新版套件，其可更正這些問題。

ID	名稱	產品	系列	已發布	已更新	嚴重性
79022	RHEL 6 : rhevm-reports 3.3.3 (RHSA-2014:0558)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	low
79022	RHEL 6：rhevm-reports 3.3.3（RHSA-2014:0558）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	low
79022	RHEL 6：rhevm-reports 3.3.3 (RHSA-2014:0558)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	low
79022	RHEL 6 : rhevm-reports 3.3.3 (RHSA-2014:0558)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	low

偵測

搜尋 Plugin

low

low

low

low