The remote Redhat Enterprise Linux 5 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2017:2560 advisory.

    Red Hat Certificate System is a complete implementation of an enterprise software system designed to     manage enterprise public key infrastructure (PKI) deployments.

    Security Fix(es):

    * An input validation error was found in Red Hat Certificate System's handling of client provided     certificates. If the certreq field is not present in a certificate an assertion error is triggered causing     a denial of service. (CVE-2017-7509)

    Bug Fix(es):

    * Previously, the Token Management System (TMS) required that certificates that were on hold must first     become valid before they can be revoked. This update removes that limitation, and it is now possible to     directly revoke currently on hold certificates. (BZ#1262000)

    * With this update, Red Hat Certificate System instances can be installed using existing CA signing     certificate/keys. This existing CA can be a functional CA from a different vendor, or keys or CSR     generated to be signed by an external CA for the purpose of chaining it to a publicly recognized CA.

    Note that this feature is only supported when installing with the pkisilent tool, not when using the     graphical user interface. Additionally, since the CSR is generated externally prior to configuration of     the CA instance and is not stored in the NSS security databases, it should be understood that the CSR     value attached to the ca.signing.certreq variable stored inside the /var/lib/pki-ca/conf/CS.cfg file     is a reconstruction of the CSR created during configuration, and not the original CSR utilized to obtain     the existing CA certificate. (BZ#1280391)

    * Previously, a bug in CRLDistributionPointsExtension caused some certificate profiles to encounter     problems when being viewed in the Certificate Manager graphical interface. This bug is now fixed, and     aforementioned profile can now be viewed normally. (BZ#1282589)

    * Previously, if access to a component such as an HSM or an LDAP server was lost during Certificate     Revocation List (CRL) generation, the CA could become stuck in a loop that generated large amounts of log     entries until the problem was resolved. To avoid these scenarios, two new configuration parameters are     being introduced in this patch to allow the CA to slow down. (BZ#1290650)

    * A patch has been applied to the Token Processing System (TPS) to ensure that the     symmetricKeys.requiredVersion option is being handled correctly in all cases. (BZ#1302103)

    * A patch has been applied to the Certificate System Token Processing System (TPS) to fix a bug where     existing objects were not always cleared when enrolling over an active token. (BZ#1302116)

    * This update fixes a bug where the Token Processing System (TPS) could not correctly execute re-     enrollment operations (taking a currently enrolled token and enrolling it again with new certificates) on     some G&D smart cards. (BZ#1320283)

    * The Token Processing System (TPS) could previously leave old data in a token's Coolkey applet when re-     enrolling the token with new certificates and keys. This bug is now fixed, and only data associated with     certificates which are actually on the token is preserved after a successful re-enrollment. (BZ#1327653)

    * Previously, a problem when setting the final life cycle state of a token at the end of a re-enrollment     operation could cause it to fail to report that it is properly enrolled. This bug is now fixed, and re-     enrolled token now report their enrolled status accurately. (BZ#1382376)

    * Prior to this update, ECDSA certificates were issued with a NULL value in the parameter field. These     certificates were not compliant with the RFC 5758 specification which mandates this field to be omitted     completely. This bug has been fixed, and ECDSA certificates are now issued without the parameter field.
    (BZ#1454414)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2017:2560 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Certificate System は、エンタープライズ公開鍵インフラ (PKI) のデプロイメントを管理するために設計された、エンタープライズソフトウェアシステムの完全な実装です。

    セキュリティ修正プログラム: 

    * Red Hat Certificate System のクライアント提供の証明書の処理で、入力検証エラーが見つかりました。certreq フィールドが証明書に存在しない場合は、アサーションエラーがトリガーされ、サービス拒否が引き起こされます。(CVE-2017-7509)

    バグ修正:

    * 以前、トークン管理システム (TMS) では、保留中の証明書を削除する前にまず有効になる必要がありました。この更新により、その制限は削除され、現在保留中の証明書を直接取り消すことができるようになりました。(BZ#1262000)

    * この更新により、既存の CA 署名証明書/鍵を使用して Red Hat Certificate System インスタンスをインストールできるようになります。この既存の CA は、別のベンダーの機能的な CA、または公開的に承認されている CA にチェーンする目的で、外部 CA によって署名されるために生成されたキーや CSR である可能性があります。

    この機能は、グラフィカルインターフェースを使用する場合ではなく、pkisilent ツールを使用してインストールした場合にのみサポートされます。さらに、CSR は CA インスタンスの設定前に外部で生成され、NSS セキュリティデータベースに保存されないため、/var/lib/pki-ca/conf/CS.cfg 内に保存される ca.signing.certreq 変数に添付された CSR 値は、設定中に作成された CSR を再構成したものであり、既存の CA 証明書を取得するために利用されたオリジナルの CSR ではないことを理解する必要があります。(BZ#1280391)

    * 以前は、CRLDistributionPointsExtension のバグにより、一部の証明書プロファイルを証明書マネージャーのグラフィカルインターフェースで表示するときに問題が発生しました。このバグは修正され、前述のプロファイルは通常表示されるようになりました。(BZ#1282589)

    * 以前は、証明書失効リスト (CRL) の生成中に HSM や LDAP サーバーなどのコンポーネントへのアクセスが失われると、問題が解決されるまで、CA は大量のログエントリを生成したループ内でスタックしてしまう可能性がありました。このようなシナリオを回避するため、このパッチでは 2 つの新しい設定パラメーターを導入し、CA の速度を低下させます。(BZ#1290650)

    * パッチは、トークン処理システム (TPS) に適用され、すべてのケースで symmetricKeys.requiredVersion オプションが正しく処理されることを確認しています。(BZ#1302103)

    * アクティブトークンで登録する際に既存のオブジェクトが必ずしもクリアされないバグを修正するため、証明書システムトークン処理システム (TPS) にパッチが適用されました。(BZ#1302116)

    * この更新は、トークン処理システム (TPS) が一部の G&D スマートカードで再登録操作 (現在登録されているトークンを取得して、新しい証明書で再登録する) を正しく実行できなかったバグを修正します。(BZ#1320283)

    * トークン処理システム (TPS) では、新しい証明書やキーでトークンを再登録する際に、トークンの Coolkey アプレットに古いデータが残る可能性がありました。このバグは現在修正済みで、再登録に成功した後に実際にトークンに存在する証明書に関連付けられたデータのみが保存されます。(BZ#1327653)

    * 以前は、再登録操作の終了時にトークンの最終ライフサイクル状態を設定する際に問題があり、適切に登録されていることを報告しない可能性がありました。このバグは修正され、再登録されたトークンは登録状況を正確に報告するようになりました。(BZ#1382376)

    * この更新以前は、ECDSA 証明書はパラメーターフィールドの NULL 値で発行されていました。これらの証明書は、このフィールドを完全に省略することを義務付ける RFC 5758 仕様に準拠していませんでした。このバグが修正され、ECDSA 証明書がパラメーターフィールドなしで発行されるようになりました。
    (BZ#1454414)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2017:2560 公告中提及的弱點影響。

    Red Hat Certificate System 是一種企業級軟體系統的完全實作，專為管理企業公開金鑰基礎架構 (PKI) 部署而設計。

    安全性修正：

    * 在 Red Hat Certificate System 處理用戶端提供的憑證時，發現一個輸入驗證錯誤。如果憑證中沒有 certreq 欄位，則會觸發宣告錯誤，進而造成拒絕服務。 (CVE-2017-7509)

    錯誤修正：

    * 之前，Token Management System (TMS) 要求擱置的憑證必須先變成有效，才能將其撤銷。此更新會移除該限制，而且現在可以直接撤銷目前擱置的憑證。(BZ#1262000)

    * 透過此更新，可以使用現有的 CA 簽署憑證/金鑰安裝 Red Hat Certificate System 執行個體。此現有 CA 可以是來自不同供應商的功能性 CA，也可以是為將其鏈結至公開認可的 CA 而產生並由外部 CA 簽署的金鑰或 CSR。

    請注意，此功能只有在使用 pkisilent 工具安裝時受支援，而在使用圖形使用者介面時則不受支援。此外，由於 CSR 是在設定 CA 執行個體之前從外部產生，且並未儲存在 NSS 安全性資料庫中，因此應理解，附加至儲存在 /var/lib/ pki-ca/conf/CS.cfg 檔案的 ca.signing.certreq 變數的 CSR 值是在設定期間建立的 CSR 重建，而非用來取得現有 CA 憑證的原始 CSR。(BZ#1280391)

    * 之前，CRLDistributionPointsExtension 中的錯誤導致在 Certificate Manager 圖形介面中檢視某些憑證設定檔時遇到問題。此錯誤現已修正，可正常檢視前述設定檔。(BZ#1282589)

    * 之前，如果在憑證撤銷清單 (CRL) 產生期間失去對元件 (例如 HSM 或 LDAP 伺服器) 的存取權，CA 可能會停滯在產生大量記錄項目的迴圈中，直到問題解決為止。為避免這些情況，在此修補程式中引入了兩個新的組態參數，讓 CA 變慢。(BZ#1290650)

    * 已對 Token Processing System (TPS) 套用修補程式，確保在所有情況下都能正確處理 symmetricKeys.requiredVersion 選項。(BZ#1302103)

    * 已對憑證系統 Token Processing System (TPS) 套用修補程式，以修正透過作用中權杖註冊時不一定會清除現有物件的錯誤。(BZ#1302116)

    * 此更新可修正 Token Processing System (TPS) 無法在某些 G&D 智慧卡上正確執行重新註冊作業 (取得目前已註冊的權杖並以新憑證再次註冊) 的錯誤。(BZ#1320283)

    * Token Processing System (TPS) 之前在使用新憑證和金鑰重新註冊權杖時，可能會在權杖的 Coolkey applet 中留下舊資料。此錯誤現已修正，成功重新註冊後，只會保留與實際位於權杖上之憑證相關聯的資料。(BZ#1327653)

    * 之前，在重新註冊作業結束時設定權杖的最終生命週期狀態時發生一個問題，可導致無法報告其已正確註冊。此錯誤現已修正，重新註冊的權杖現在會準確地報告其註冊狀態。(BZ#1382376)

    * 在此更新之前，ECDSA 憑證在參數欄位中發出 NULL 值。這些憑證不符合 RFC 5758 規格，該規格要求此欄位必須完全省略。此錯誤已修正，現在發出的 ECDSA 憑證不含參數欄位。
    (BZ#1454414)

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2017:2560 公告中提及的漏洞影响。

    Red Hat Certificate System 是企业级软件系统的完整实现，旨在管理企业级公钥基础设施 (PKI) 部署。

    安全修复：

    * 在 Red Hat Certificate System 处理客户端提供的证书时发现输入验证错误。如果证书中不存在 certreq 字段，则会触发断言错误，从而造成拒绝服务。 (CVE-2017-7509)

    错误修复：

    * 此前，令牌管理系统 (TMS) 要求被暂停的证书必须首先生效，然后才能吊销。此更新删除了该限制。现在可以直接撤销当前暂停的证书。(BZ#1262000)

    * 通过此更新，可以使用现有的 CA 签名证书/密钥来安装 Red Hat Certificate System 实例。这种现有 CA 可以是来自其他供应商的功能 CA，或者为由外部 CA 签名并链接到公开认可的 CA 而生成的密钥或 CSR。

    请注意，此功能仅在使用 pkisilent 工具安装时受支持，在使用图形用户界面时不受支持。此外，由于 CSR 是在配置 CA 实例之前从外部生成，并且未存储在 NSS 安全数据库中，您应该了解，存储在 /var/lib/ pki-ca/conf/CS.cfg 文件中的 ca.signing.certreq 变量是配置期间创建的 CSR 的重构，而非用于获取现有 CA 证书的原始 CSR。(BZ#1280391)

    * 此前，CRLDistributionPointsExtension 中的缺陷导致在 Certificate Manager 图形界面中查看某些证书配置文件时遇到问题。此缺陷现已修复，且可正常查看上述配置文件。 (BZ#1282589)

    * 此前，如果在证书吊销列表 (CRL) 生成期间丢失了对 HSM 或 LDAP 服务器等组件的访问权限，则 CA 可能会陷入生成大量日志条目的循环中，直到问题解决为止。为避免这些情况，此修补程序中引入了两个新的配置参数，以允许 CA 减速。(BZ#1290650)

    * 已对标记处理系统 (TPS) 应用修补程序，确保 symmetricKeys.requiredVersion 选项在所有情况下都得到正确处理。(BZ#1302103)

    * 已对证书系统令牌处理系统 (TPS) 应用修补程序，以修复在有效令牌上注册时不能始终清除现有对象的缺陷。(BZ#1302116)

    * 此更新修复一个缺陷，即令牌处理系统 (TPS) 无法在部分 G&D 智能卡上正确执行重新注册操作（获取当前注册的标记，并使用新证书将其再次注册）。(BZ#1320283)

    * 之前，当使用新证书和密钥重新注册令牌时，令牌处理系统 (TPS) 可能会将旧数据保留在令牌的 Coolkey 小程序中。此缺陷现已修复，在成功的重新注册后，仅与实际已在令牌上的证书相关联的数据会被保留。(BZ#1327653)

    * 此前，在重新注册操作结束时设置令牌的最终生命周期状态时，出现的问题可能导致无法报告已正确注册。此缺陷现已修复，重新注册的令牌现在可以准确报告其注册状态。(BZ#1382376)

    * 在此更新之前，发布的 ECDSA 证书的参数字段中带有 NULL 值。这些证书不符合 RFC 5758 规范，该规范要求完全忽略此字段。此缺陷已修复，发布的 ECDSA 证书现在没有参数字段。
    (BZ#1454414)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
210259	RHEL 5 : Red Hat Certificate System 8 (RHSA-2017:2560)	Nessus	Red Hat Local Security Checks	2024/11/5	2025/3/20	medium
210259	RHEL 5 : Red Hat Certificate System 8 (RHSA-2017:2560)	Nessus	Red Hat Local Security Checks	2024/11/5	2025/3/20	medium
210259	RHEL 5：Red Hat Certificate System 8 (RHSA-2017:2560)	Nessus	Red Hat Local Security Checks	2024/11/5	2025/3/20	medium
210259	RHEL 5：Red Hat Certificate System 8 (RHSA-2017:2560)	Nessus	Red Hat Local Security Checks	2024/11/5	2025/3/20	medium

偵測

搜尋 Plugin

medium

medium

medium

medium