An update for org.ovirt.engine-root is now available for RHEV Manager version 3.6.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

The Red Hat Virtualization Manager is a centralized management platform that allows system administrators to view and manage virtual machines. The Manager provides a comprehensive range of features including search capabilities, resource management, live migrations, and virtual infrastructure provisioning.

The Manager is a JBoss Application Server application that provides several interfaces through which the virtual environment can be accessed and interacted with, including an Administration Portal, a User Portal, and a Representational State Transfer (REST) Application Programming Interface (API).

Security Fix(es) :

* A flaw was found in RHEV Manager, where it wrote sensitive data to the engine-setup log file. A local attacker could exploit this flaw to view sensitive information such as encryption keys and certificates (which could then be used to steal other sensitive information such as passwords). (CVE-2016-4443)

This issue was discovered by Simone Tiraboschi (Red Hat).

Bug Fix(es) :

* With this update, users are now warned to set the system in global maintenance mode before running the engine-setup command. This is because data corruption may occur if the engine-setup command is run without setting the system into global maintenance mode. This update means that the user is warned and the setup will be aborted if the system is not in global maintenance mode and the engine is running in the hosted engine configuration. (BZ#1359844)

* Previously, the update of the compatibility version of a cluster with many running virtual machines that are installed with the guest-agent caused a deadlock that caused the update to fail. In some cases, these clusters could not be upgraded to a newer compatibility version. Now, the deadlock in the database has been prevented so that a cluster with many running virtual machines that are installed with the guest-agent can be upgraded to newer compatibility version.
(BZ#1369415)

* Previously, a virtual machine with a null CPU profile id stored in the database caused a NPE when editing the virtual machine. Now, a virtual machine with a null CPU profile id stored in the database is correctly handled and the virtual machine can be edited. (BZ#1373090)

* Setting only one of the thresholds for power saving/evenly distributed memory based balancing (high or low) can lead to unexpected results. For example, when in power saving load balancing the threshold for memory over utilized hosts was set with a value, and the threshold for memory under utilized hosts was undefined thus getting a default value of 0. All hosts were considered as under utilized hosts and were chosen as sources for migration, but no host was chosen as a destination for migration.

This has now been changed so that when the threshold for memory under utilized host is undefined, it gets a default value of Long.MAX. Now, when the threshold for memory over utilized hosts is set with a value, and the threshold for memory under utilized host is undefined, only over utilized hosts will be selected as sources for migration, and destination hosts will be hosts that are not over utilized.
(BZ#1359767)

* Previously, recently added logs that printed the amount of virtual machines running on a host were excessively written to the log file.
Now, the frequency of these log have been reduced by printing them only upon a change in the number of virtual machines running on the host. (BZ#1367519)

org.ovirt.engine-rootの更新プログラムが、RHEV Managerバージョン3.6で利用可能になりました。Red Hat製品セキュリティは、この更新プログラムがセキュリティに及ぼす影響の重要度を中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Enterprise Virtualization Managerは、システム管理者が仮想マシンの閲覧および管理を行える集中管理プラットフォームです。このマネージャーは、検索機能、リソース管理、ライブ移行、仮想インフラストラクチャプロビジョニングを含む包括的な機能を提供します。このマネージャーはJBoss Application Serverアプリケーションであり、管理ポータル、ユーザーポータル、およびRepresentational State Transfer（REST）アプリケーションプログラミングインターフェイス（API）を含む、仮想環境へのアクセスおよび相互作用が可能な複数のインターフェイスを提供します。セキュリティの修正：* RHEV Managerに、engine-setupログファイルに秘密データを書き込む欠陥が見つかりました。ローカルの攻撃者がこの欠陥を悪用して、暗号化キーや証明書などの秘密情報を閲覧する可能性があります（その後、それを利用してパスワードなどその他の秘密情報を盗む可能性があります）。（CVE-2016-4443）この問題はSimone Tiraboschi氏（Red Hat）が発見しました。バグ修正：* この更新プログラムでは、ユーザーにengine-setupコマンドを実行する前にシステムをグローバルメンテナンスモードに設定するよう警告が表示されるようになりました。これは、システムをグローバルメンテナンスモードに設定せずにengine-setupコマンドを実行すると、データが破損する可能性があるためです。この更新プログラムでは、システムがグローバルメンテナンスモードになっておらず、エンジンがホステッドエンジン構成で動作している場合、ユーザーに警告が表示され、セットアップが中止されます。（BZ＃1359844）* 以前は、ゲストエージェントとともにインストールされている多数の実行中の仮想マシンを含む互換バージョンのクラスタを更新すると、デッドロックが発生して更新できませんでした。場合によっては、これらのクラスタを新しい互換バージョンにアップグレードできませんでした。現在は、データベース内のデッドロックが防止され、ゲストエージェントとともにインストールされている多数の実行中の仮想マシンを含むクラスターを、新しい互換バージョンにアップグレードできるようになりました。（BZ#1369415）* 以前は、データベースに格納されているCPUプロファイルIDがnullの仮想マシンで、仮想マシンの編集時にNPEが発生していました。現在は、データベースに格納されているnullのCPUプロファイルIDを持つ仮想マシンは正しく処理され、仮想マシンを編集できるようになりました。（BZ#1373090）* 省電力または均等分散メモリベースのバランシング（高または低）のしきい値を1つだけ設定すると、予期しない結果が生じる可能性があります。たとえば、省電力ロードバランシングでは、使用率が高いホストのメモリのしきい値に値を設定し、使用率が低いホストのメモリのしきい値を定義しないと、デフォルト値が0になります。すべてのホストが使用率の低いホストと見なされ、移行元として選択されましたが、移行先として選択されたホストはありませんでした。これは現在、使用率が低いホストのメモリのしきい値が未定義のときにLong.MAXのデフォルト値を取得するように変更されました。これで、使用率が高いホストのメモリのしきい値に値が設定され、使用率が低いホストのメモリのしきい値が定義されていない場合は、使用率が高いホストのみが移行元として選択されます。また、移行先ホストは使用率が低いホストとなります。（BZ#1359767）*以前は、ホストで実行されている仮想マシンの数を記録した直近に追加されたログは、ログファイルに過剰に書き込まれていました。現在は、ホストで実行されている仮想マシンの数が変わったときにのみ記録することで、ログの書き込み頻度は減少しました。（BZ#1367519）

org.ovirt.engine-root 的更新现在可用于 RHEV Manager 版本 3.6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Virtualization Manager 是允许系统管理员查看和管理虚拟机的集中式管理平台。Manager 可提供全面的功能，包括搜索功能、资源管理、实时迁移和虚拟基础架构设置。Manager 是 JBoss Application Server 应用程序，该应用程序提供了多个界面，可通过这些界面访问虚拟环境并与之交互，其中包括管理门户、用户门户以及表述性状态转移 (REST) 应用程序编程接口 (API)。安全修复：* 在 RHEV Manager 中发现一个缺陷，会将敏感数据写入引擎设置日志文件。本地攻击者可恶意利用此缺陷，查看诸如加密密钥和凭证等敏感信息（之后可能会被用来窃取密码等其他敏感信息）。(CVE-2016-4443) 此问题的发现者为 Simone Tiraboschi (Red Hat)。缺陷修复：* 应用此更新后，会警告用户在运行引擎设置命令前，先将系统设定为全域维护模式。这是因为如果没有先设定系统进入全域维护模式就运行引擎设置命令，可能会发生数据损毁。此更新会警告用户，且如果系统未设为全域维护模式即在托管引擎配置中运行引擎，更新会中止设置。(BZ#1359844) * 之前，通过客户机代理安装包含多部运行虚拟机的集群兼容性更新版本时会造成死锁，导致更新失败。在某些情况下，这些集群无法升级至较新的兼容性版本。现在已可避免数据库中的死锁情况，因此在使用客户机代理安装包含多部运行虚拟机的集群时，可成功升级至较新的兼容性版本。(BZ#1369415) * 之前，若储存在数据库中的虚拟机具有 null CPU 配置文件 id，编辑该虚拟机时会造成 NPE。现在已可正确处理保存在数据库中具有 null CPU 配置文件 id 的虚拟机，并可编辑虚拟机。(BZ#1373090) * 仅设置节能/平均分布式内存型平衡（高或低）的其中一个阈值时，会导致非预期结果。例如，在节能负载中，针对平衡过度利用内存的主机设定一个阈值，而低利用率内存的主机则没有定义阈值，因此默认值为 0。所有主机均被视为内存低使用率的主机并选为迁移来源，但却没有主机被选为迁移目的地。此问题现已修复，当内存低使用率的主机未定义阈值时，默认值会设为 Long.MAX。现在，当内存过度利用的主机设置阈值时，而内存低使用率的主机未定义阈值时，只会选择内存过度利用的主机作为迁移来源，并以内存低使用率的主机作为目的地主机。(BZ#1359767) * 之前，最近新增的打印主机上运行虚拟机数量的日志，其写入日志文件的次数过于频繁。现在已减少这些日志的频率，只有当主机上运行的虚拟机数量发生变化时才会打印。(BZ#1367519)

現已提供適用於 RHEV Manager 3.6 版的 org.ovirt.engine-root 更新。

Red Hat 產品安全性團隊已將此更新評等為具有「中等」安全性影響。您可從〈參照〉一節的 CVE 連結中查看每個弱點之常見弱點評分系統 (CVSS) 基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Virtualization Manager 是一種集中式管理平台，可讓系統管理員檢視和管理虛擬機器。Manager 提供完整的功能，包括：搜尋功能、資源管理、即時移轉，以及虛擬基礎結構佈建等等。

這個 Manager 是一種 JBoss Application Server 應用程式，提供多種介面，可讓使用者透過這些介面存取虛擬環境並與之互動，包括：管理入口網站、使用者入口網站，以及具象狀態傳輸 (REST) 應用程式開發介面 (API)。

安全性修正：

* 在 RHEV Manager 中發現一個會將敏感資料寫入引擎設定檔的缺陷。本機攻擊者可惡意利用此缺陷，來檢視加密金鑰和憑證等敏感資訊 (之後可能會被用來竊取密碼等其他敏感資訊)。(CVE-2016-4443)

此問題是由 Simone Tiraboschi (Red Hat) 所發現的。

錯誤修正：

* 套用此更新後，系統會警告使用者在執行引擎設定命令前，先將系統設定為全域維護模式。這是因為如果沒有先設定系統進入全域維護模式就執行引擎設定命令，可能會發生資料損毀。此更新會警告使用者，且如果系統未設為全域維護模式即在託管引擎組態中執行引擎，更新會中止設定作業。(BZ#1359844)

* 之前，透過客體代理程式安裝包含多部執行虛擬機器的叢集相容性更新版本時會造成鎖死，進而導致更新失敗。在某些情況下，這些叢集無法升級至較新的相容性版本。現在已可避免資料庫中的鎖死情況，因此在使用客體代理程式安裝包含多部虛擬機器的叢集時，可成功升級至較新的相容性版本。
(BZ#1369415)

* 之前，若儲存在資料庫中的虛擬機器具有 null CPU 設定檔 id，則編輯該虛擬機器時會造成 NPE。現在可正確處理儲存在資料庫中具有 null CPU 設定檔 id 的虛擬機器，並可順利編輯虛擬機器。(BZ#1373090)

* 設定節能/平均分散式記憶體型平衡 (高或低) 的其中一個臨界值時，會導致非預期結果。例如在節能負載平衡中，有針對超額使用記憶體的主機設定一個臨界值，對於記憶體使用率低的主機則沒有定義臨界值，因此預設值為 0。所有主機皆被視為記憶體使用率低的主機並選為移轉來源，但卻沒有主機被選為移轉目的地。

這個問題現已修正，所以即使記憶體低使用率的主機沒有定義臨界值，預設值會設為 Long.MAX。現在當超額使用記憶體的主機有設定臨界值，而記憶體使用率低的主機未定義臨界值時，只會選定超額使用記憶體的主機作為移轉來源，並以記憶體使用率低的主機作為目的地主機。
(BZ#1359767)

* 之前，最近新增的列印主機上執行虛擬機器數量的記錄，其寫入記錄檔的次數過於頻繁。
現在已減少這些記錄的寫入頻率，只有當主機上執行的虛擬機器數量發生變化時才會列印。(BZ#1367519)

ID	名稱	產品	系列	已發布	已更新	嚴重性
93681	RHEL 6 : Virtualization Manager (RHSA-2016:1929)	Nessus	Red Hat Local Security Checks	2016/9/23	2019/10/24	medium
93681	RHEL 6：Virtualization Manager（RHSA-2016:1929）	Nessus	Red Hat Local Security Checks	2016/9/23	2019/10/24	medium
93681	RHEL 6：Virtualization Manager (RHSA-2016:1929)	Nessus	Red Hat Local Security Checks	2016/9/23	2019/10/24	medium
93681	RHEL 6：Virtualization Manager (RHSA-2016: 1929)	Nessus	Red Hat Local Security Checks	2016/9/23	2019/10/24	medium

偵測

搜尋 Plugin

medium

medium

medium

medium