2.8.6 is a security and bugfix release.

Included in the list of fixed issues in 2.8.5 are two CVEs :

  - CVE-2016-3696: Leakage of CA key in pulp-qpid-ssl-cfg

  - CVE-2016-3704: Unsafe use of bash $RANDOM for NSS DB     password and seed

Several issues with database migrations are also addressed in this release.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

2.8.6 は、セキュリティとバグ修正のためのリリースです。

2.8.5 で修正された問題のリストには、2 つの CVE があります：

- CVE-2016-3696：pulp-qpid-ssl-cfg における CA キーの漏洩

- CVE-2016-3704：NSS DB パスワードとシードのための bash $RANDOM の安全でない使用

また、このリリースは、データベース移行にあるいくつかの問題に対処しています。

注意：Tenable Network Security は、前述の説明ブロックを Fedora 更新システム Web サイトから直接抽出しています。
Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Red Hat Satelliteの更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Satelliteは、Linuxベースのインフラストラクチャ用のシステム管理ツールです。単一の集中型ツールで、多数のLinuxデプロイメントのプロビジョニング、リモート管理および監視を行うことができます。この更新プログラムでは、Red Hat Enterprise Linux 7 Satelliteサーバー用のSatellite 6.3パッケージを提供します。Satellite 6.3が提供する新機能の完全なリストについては、「参照」セクションでリンクされているリリースノートを参照してください。新しいSatellite 6.3環境のインストール方法の詳細については、「Satellite 6インストールガイド」を参照してください。以前のバージョンのSatellite 6からアップグレードする方法の詳細については、「Satellite 6アップグレードおよびアップデートガイド」を参照してください。Satelliteバージョン6.3が必要なすべてのユーザーは、これらの新しいパッケージをインストールすることが推奨されます。セキュリティ修正プログラム：* V8：Zone::New関数のバッファオーバーフローにつながる整数オーバーフロー（CVE-2016-1669）* ruby​​gem-will_paginate：XSS脆弱性（CVE-2013-6459）* foreman： 組織への「belongs_to」のアソシエーションを持つモデルがその組織に属するアソシエーションを検証しない（CVE-2014-8183）* foreman：プロビジョニングテンプレートのinspectメソッドを介したコントローラーの秘密情報の漏えい（CVE-2016-3693）* pulp：NSS DBのパスワードとシードにおけるbash $ RANDOMの安全でない使用（CVE-2016-3704）* foreman：組織およびロケーションAPIを介した権限昇格（CVE-2016-4451）* foreman：discovery-debug内におけるルートパスワードのプレーンテキスト表示（CVE-2016-4996）* foreman：Foremanのリモート実行プラグインにおける継続的なXSS（CVE-2016-6319）* foreman：名前にHTMLを使用して組織/ロケーションを経由するStored型XSS（CVE-2016-8639） * katello-debug：予測可能なファイル名の使用によるシンボリックリンク攻撃の可能性（CVE-2016-9595）* ruby​​gem-hammer_cli：APIサーバーのSSL証明書の検証なし（CVE-2017-2667）* foreman：画像パスワードの漏えい（CVE-2017-2672）* pulp：pulp-qpid-ssl-cfgにおけるCAキーの漏えい（CVE-2016-3696）* foreman：プロビジョニングテンプレートプレビューでの情報漏えい（CVE-2016-4995）* foreman-debug：秘密情報の難読化非対応（CVE-2016-9593）影響、CVSSスコア、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEページを参照してください。Red Hatは、CVE-2016-3704を報告してくれたRandy Barlow氏（RedHat）とCVE-2016-3696を報告してくれたSander Bos氏に感謝の意を表します。CVE-2014-8183の問題は、Eric Helms氏（Red Hat）によって発見されました。CVE-2016-3693およびCVE-2016-4995の問題はDominic Cleal氏（Red Hat）によって発見されました。CVE-2016-4451およびCVE-2016-6319の問題はMarek Hulan氏（Red Hat）によって発見されました。CVE-2016-4996の問題はThom Carlin氏（Red Hat）によって発見されました。CVE-2016-8639の問題はSanket Jagtap氏（Red Hat）によって発見されました。CVE-2016-9595の問題はEvgeni Golov氏（Red Hat）によって発見されました。CVE-2017-2667の問題はTomas Strachota氏（Red Hat）によって発見されました。CVE-2016-9593の問題はPavel Moravec氏（Red Hat）によって発見されました。

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2018:0336 advisory.

    Red Hat Satellite is a systems management tool for Linux-based infrastructure. It allows for provisioning,     remote management, and monitoring of multiple Linux deployments with a single centralized tool.

    This update provides Satellite 6.3 packages for Red Hat Enterprise Linux 7 Satellite server. For the full     list of new features provided by Satellite 6.3, see the Release Notes linked to in the references section.
    See the Satellite 6 Installation Guide for detailed instructions on how to install a new Satellite 6.3     environment, or the Satellite 6 Upgrading and Updating guide for detailed instructions on how to upgrade     from prior versions of Satellite 6.

    All users who require Satellite version 6.3 are advised to install these new packages.

    Security Fix(es):

    * V8: integer overflow leading to buffer overflow in Zone::New (CVE-2016-1669)

    * rubygem-will_paginate: XSS vulnerabilities (CVE-2013-6459)

    * foreman: models with a 'belongs_to' association to an Organization do not verify association belongs to     that Organization (CVE-2014-8183)

    * foreman: inspect in a provisioning template exposes sensitive controller information (CVE-2016-3693)

    * pulp: Unsafe use of bash $RANDOM for NSS DB password and seed (CVE-2016-3704)

    * foreman: privilege escalation through Organization and Locations API (CVE-2016-4451)

    * foreman: inside discovery-debug, the root password is displayed in plaintext (CVE-2016-4996)

    * foreman: Persistent XSS in Foreman remote execution plugin (CVE-2016-6319)

    * foreman: Stored XSS via organization/location with HTML in name (CVE-2016-8639)

    * katello-debug: Possible symlink attacks due to use of predictable file names (CVE-2016-9595)

    * rubygem-hammer_cli: no verification of API server's SSL certificate (CVE-2017-2667)

    * foreman: Image password leak (CVE-2017-2672)

    * pulp: Leakage of CA key in pulp-qpid-ssl-cfg (CVE-2016-3696)

    * foreman: Information disclosure in provisioning template previews (CVE-2016-4995)

    * foreman-debug: missing obfuscation of sensitive information (CVE-2016-9593)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

    Red Hat would like to thank Randy Barlow (RedHat) for reporting CVE-2016-3704 and Sander Bos for reporting     CVE-2016-3696. The CVE-2014-8183 issue was discovered by Eric Helms (Red Hat); the CVE-2016-3693 and     CVE-2016-4995 issues were discovered by Dominic Cleal (Red Hat); the CVE-2016-4451 and CVE-2016-6319     issues were discovered by Marek Huln (Red Hat); the CVE-2016-4996 issue was discovered by Thom Carlin     (Red Hat); the CVE-2016-8639 issue was discovered by Sanket Jagtap (Red Hat); the CVE-2016-9595 issue was     discovered by Evgeni Golov (Red Hat); the CVE-2017-2667 issue was discovered by Tomas Strachota (Red Hat);
    and the CVE-2016-9593 issue was discovered by Pavel Moravec (Red Hat).

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

2.8.6 主要作为安全和缺陷补丁版本。

在 2.8.5 中，修复问题列表包含两个 CVE：

- CVE-2016-3696：pulp-qpid-ssl-cfg 中泄漏 CA 密钥

- CVE-2016-3704：未安全使用针对 NSS DB 密码的 bash $RANDOM

此版本中也解决了有关数据库迁移的多个问题。

请注意，Tenable Network Security 已直接从 Fedora 更新系统网站提取上述描述块。
Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

2.8.6 是安全性和錯誤修正版本。

在 2.8.5 中，已修正問題清單包含兩個 CVE：

- CVE-2016-3696：pulp-qpid-ssl-cfg 中洩漏了 CA 金鑰

- CVE-2016-3704：未安全使用 NSS DB 密碼的 bash $RANDOM 並植入

此版本中也解決了資料庫移轉的數個問題。

請注意，Tenable Network Security 已直接從 Fedora 更新系統網站擷取前置描述區塊。
Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

更新现在可用于 Red Hat Satellite。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Satellite 是基于 Linux 基础架构的系统管理工具。它允许通过单一集中化工具配置、远程管理和监控多项 Linux 部署。此次更新为 Red Hat Enterprise Linux 7 Satellite 服务器提供 Satellite 6.3 程序包。有关 Satellite 6.3 提供的新功能的完整列表，请参阅“参考”部分中链接的版本说明。查看 Satellite 6 安装指南，获取详细的 Satellite 6.3 新环境安装指导，或者查看 Satellite 6 升级和更新指南，获取详细的 Satellite 6 旧版本升级指导。建议所有需要 Satellite 版本 6.3 的用户安装这些新的程序包。安全修复：* V8：整数溢出导致 Zone::New 缓冲区溢出 (CVE-2016-1669) * rubygem-will_paginate: XSS 漏洞 (CVE-2013-6459) * foreman：通过 ‘belongs_to’ 关联至 Organization 的模块不会验证关联是否属于该 Organization (CVE-2014-8183) * foreman：预制模板检查暴露敏感控制器信息 (CVE-2016-3693) * pulp：对 NSS DB 密码和种子不安全使用 bash $RANDOM (CVE-2016-3704) * foreman：通过 Organization 和 Locations API 提升特权 API (CVE-2016-4451) * foreman：在 discovery-debug 内，以明文显示根密码 (CVE-2016-4996) * foreman：Foreman 中的持久型 XSS 远程执行插件 (CVE-2016-6319) * foreman：通过名称中含 HTML 的 organization/location 储存 XSS (CVE-2016-8639) * katello-debug：由于使用可预测的文件名而可能遭受软链接攻击 (CVE-2016-9595) * rubygem-hammer_cl：没有验证 API 服务器的 SSL 证书 (CVE-2017-2667) * foreman：图像密码泄露 (CVE-2017-2672) * pulp：Pulp-qpid-ssl-cfg 中的 CA 密钥泄露 (CVE-2016-3696) * foreman：预制模板预览中存在信息泄露 (CVE-2016-4995) * foreman-debug：缺少敏感信息混淆 (CVE-2016-9593) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Randy Barlow (RedHat) 报告 CVE-2016-3704，感谢 Sander Bos 报告 CVE-2016-3696。CVE-2014-8183 问题由 Eric Helms (Red Hat) 发现；CVE-2016-3693 和 CVE-2016-4995 问题由 Dominic Cleal (Red Hat) 发现；CVE-2016-4451 和 CVE-2016-6319 问题由 Marek Hulan (Red Hat) 发现；CVE-2016-4996 问题由 Thom Carlin (Red Hat) 发现；CVE-2016-8639 问题由 Sanket Jagtap (Red Hat) 发现；CVE-2016-9595 问题由 Evgeni Golov (Red Hat) 发现；CVE-2017-2667 问题由 Tomas Strachota (Red Hat)发现；CVE-2016-9593 问题由 Pavel Moravec (Red Hat) 发现。

現已提供適用於 Red Hat Satellite 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat Satellite 是一種適用於 Linux 型基礎結構的系統管理工具。只要使用一個集中式工具，就可以佈建、遠端管理和監控多個 Linux 部署。此更新提供適用於 Red Hat Enterprise Linux 7 Satellite 伺服器的 Satellite 6.3 套件。如需瞭解 Satellite 6.3 提供的新功能完整清單，請參閱〈參照〉一節連結的版本資訊。請參閱《Satellite 6 安裝指南》瞭解如何安裝新 Satellite 6.3 環境的詳細指示，或參閱《Satellite 6 升級和更新指南》瞭解如何升級舊版 Satellite 6 的詳細指示。建議所有需使用 Satellite 6.3 版的使用者安裝這些新套件。安全性修正：* V8：整數溢位導致區域中發生緩衝區溢位：新 (CVE-2016-1669) * rubygem-will_paginate：XSS 弱點 (CVE-2013-6459) * foreman：具有組織「belongs_to」關聯的模組未確認關聯屬於該組織 (CVE-2014-8183) * foreman：在佈建範本中檢查會洩漏機密控制器資訊 (CVE-2016-3693) * pulp：在 NSS DB 密碼和種子使用不安全的 bash $RANDOM (CVE-2016-3704) * foreman：透過組織和位置 API 的權限提升 (CVE-2016-4451) * foreman：在 discovery-debug 內，password 密碼顯示為純文字 (CVE-2016-4996) * foreman：Foreman 遠端執行外掛程式中的持續 XSS (CVE-2016-6319) * foreman：透過組織/地點儲存的 XXS，名稱中有 HTML (CVE-2016-8639) * katello-debug：因為使用可預期的檔案名稱，所以可能會發生符號連結攻擊 (CVE-2016-9595) * rubygem-hammer_cli：未驗證 API 伺服器的 SSL 憑證 (CVE-2017-2667) * foreman：影像密碼洩漏 (CVE-2017-2672) * pulp：pulp-qpid-ssl-cfg 中 CA 金鑰洩漏 (CVE-2016-3696) * foreman：佈建範本預覽中發生資訊外洩 (CVE-2016-4995) * foreman-debug：未模糊機密資訊 (CVE-2016-9593) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Randy Barlow (RedHat) 報告 CVE-2016-3704 及 Sander Bos 報告 CVE-2016-3696。CVE-2014-8183 問題是由 Eric Helms (Red Hat) 所發現；CVE-2016-3693 和 CVE-2016-4995 問題是由 Dominic Cleal (Red Hat) 所發現；CVE-2016-4451 和 CVE-2016-6319 問題是由 Marek Hulan (Red Hat) 所發現；CVE-2016-4996 問題是由 Thom Carlin (Red Hat) 所發現；CVE-2016-8639 問題是由 Sanket Jagtap (Red Hat) 所發現；CVE-2016-9595 問題是由 Evgeni Golov (Red Hat) 所發現；CVE-2017-2667 問題是由 Tomas Strachota (Red Hat) 所發現；及 CVE-2016-9593 問題是由 Pavel Moravec (Red Hat) 所發現。

ID	名稱	產品	系列	已發布	已更新	嚴重性
92987	Fedora 24 : pulp / pulp-docker / pulp-ostree / pulp-puppet / pulp-python / etc (2016-4373f7d32a)	Nessus	Fedora Local Security Checks	2016/8/17	2021/1/11	high
92987	Fedora 24：pulp/pulp-docker/pulp-ostree/pulp-puppet/pulp-python/など（2016-4373f7d32a）	Nessus	Fedora Local Security Checks	2016/8/17	2021/1/11	high
107053	RHEL 7：Satelliteサーバー（RHSA-2018:0336）	Nessus	Red Hat Local Security Checks	2018/2/28	2024/6/3	high
107053	RHEL 7 : Satellite 6.3 (RHSA-2018:0336)	Nessus	Red Hat Local Security Checks	2018/2/28	2024/6/3	high
92987	Fedora 24：pulp / pulp-docker / pulp-ostree / pulp-puppet / pulp-python / etc (2016-4373f7d32a)	Nessus	Fedora Local Security Checks	2016/8/17	2021/1/11	high
92987	Fedora 24：pulp / pulp-docker / pulp-ostree / pulp-puppet / pulp-python / etc (2016-4373f7d32a)	Nessus	Fedora Local Security Checks	2016/8/17	2021/1/11	high
107053	RHEL 7：Satellite Server (RHSA-2018:0336)	Nessus	Red Hat Local Security Checks	2018/2/28	2024/6/3	high
107053	RHEL 7：Satellite Server (RHSA-2018:0336)	Nessus	Red Hat Local Security Checks	2018/2/28	2024/6/3	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high