リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2024:4006-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    cobbler:

    - 修正されたセキュリティ問題:

      * CVE-2024-47533:なしから管理者への権限昇格を防止します(bsc#1231332)

    - 修正されたその他のバグ:

      * cobblerd ユニットの開始タイムアウトを増加します(bsc#1219450)
      * DHCP モジュールにsync_single_systemを提供し、パフォーマンスを向上します(bsc#1219450)
      * input_string_*、input_boolean、input_int関数を公開 API に追加します
      * Uyuni 認証エンドポイントに新しい設定を追加(bsc#1219887)

    grafana-formula:

    - バージョン 0.11.0
      * SLES 15 SP6 を対応バージョンに追加(bsc#1228286)

    inter-server-sync:

    - バージョン 0.3.5-0
      * エクスポート用のブーリアン値をデコードします(bsc#1228545)

    saltboot-formula:

    - バージョン 0.1.1723628891.ffb1da5 に更新してください
      * 不要な警告を回避するためにリクエスト停止機能を修正(bsc#1212985)

    spacecmd: 

    - バージョン 4.3.29-0
      * softwarechannel_removepackagesを高速化します(bsc#1227606)

    spacewalk-backend：

    - バージョン 4.3.30-0
      * ISSv1 タイムゾーンを独立させます(bsc#1221505)
      * reposync:DEBチャネルの同期時にタイムアウトを導入(bsc#1225960)
      * yum_src:サブプロセスに適切な名前の変数名を使用します。タイムアウト期限切れ
      * パッケージのインポート時に PTF 属性をチェックして入力します(bsc#1225619)
      * reposync:GPG キーを RPM DB に個別にインポートします(bsc#1217003)
      * ディスク容量が不十分なためにサービスが停止した場合、ログ文字列をジャーナルに追加

    spacewalk-certs-tools:

    - バージョン 4.3.26-0
      * jabberd 証明書ファイルの秘密鍵の形式を修正します(bsc#1228851)
      * keyid にプレフィックスがない場合での権限キー識別子の解析を修正します(bsc#1229079)
      * root-ca-file および server-cert-file に対する複数の証明書をサポート

    spacewalk-client-tools:

    - バージョン 4.3.21-0
      * 翻訳文字列を更新してください

    spacewalk-config:

    - バージョン 4.3.14-0
      * AJP からの Content-Length ヘッダーを信頼します(bsc#1226439)

    spacewalk-java:

    - バージョン 4.3.82-0
      * フロントエンドログメッセージサイズを制限します(bsc#1231900)
    - バージョン 4.3.81-0
      * Ubuntuの検出を追加 24.04
    - バージョン 4.3.80-0
      * パフォーマンスを向上させるために、エラータビューの代わりにカスタム選択を使用します(bsc#1225619)
    - バージョン 4.3.79-0
      * cobbler の情報 URL を追加し、システムプロファイルをクリーンアップします(bsc#1219645)
      * Ubuntu に対して適切な scap パッケージが必要です
      * Debian 12 に対して適切な scap パッケージが必要です(bsc#1227746)
      * システム概要ページのsystem_checkin_threshold構成値の発見を修正します(bsc#1224108)
      * システムが Liberty 上の状態である場合、ベースチャネルの SUSE Liberty Linux LTSS への変更を許可します(bsc#1228326)
      * RHEL およびクローンから SUSE Liberty Linux への製品移行を実装します
      * プロキシ SSH known_hostsからもシステムを削除します(bsc#1228345)
      * サブスクリプションマッチャー入力を生成する際の NullPointerException を修正します(bsc#1228638)
      * 無料製品および SUSE Manager Proxy が SUSE Manager Server PAYG によって管理されることを許可します
      * 新しいページでブートストラップスクリプトディレクトリ URL を開きます(bsc#1225603)
      * Salt の更新時にパッケージリストのリフレッシュを遅らせます(bsc#1217978)
      * SLE Micro 5 を監視をサポートするシステムのリストに追加します(bsc#1227334)
      * すべての SLE Micro システムを PTF リポジトリを取得するシステムのリストに追加します
      * 少なくとも 1 回の製品が以前に同期された場合にのみ、最終同期更新タイムスタンプを更新します
      * 完了時間がない履歴イベントを一覧表示する際の NullPointerException を防ぎます(bsc#1146701)
      * 自動インストール:一部のネットワークによる IP アドレスの重複の問題を回避(bsc#1226461)
      * PTF パッケージをチェックするために、SQL クエリとパフォーマンスを向上します(bsc#1225619)
      * 製品移行の前に正しい Salt パッケージを確認してください(bsc#1224209)
      * HTTP API を使用する場合の日付形式出力を修正し、ISO 8601 形式を使用します(bsc#1227543)
      * SL Micro のトランザクション更新チェックを修正します(bsc#1227406)
      * システム検索のスコア比較を改善して ISE を修正(bsc#1228412)
      * yum-utils がインストールされていない場合の CentOS 7 のパッケージプロファイル更新を修正します(bsc#1227133)

    spacewalk-utils:

    - バージョン 4.3.22-0
      * Ubuntu 24.04 LTS のリポジトリを追加します
    - バージョン 4.3.21-0
      * サポートされていないツール spacewalk-final-archive が破損しており、機密情報が漏洩する可能性があるため、ドロップします(bsc#1228945)

    spacewalk-web:

    - 修正されたセキュリティ問題:

      * バージョン 4.3.42-0
        - CVE-2024-49503:XSS の脆弱性を緩和するために、組織認証情報のユーザー名をエスケープします(bsc#1231922)
      * バージョン 4.3.41-0
        - CVE-2024-49502:プロキシホスト名の形式を検証し、プロキシユーザー名をエスケープして、XSS の脆弱性を緩和します(bsc#1231852)

    - 修正されたバグ:

      * バージョン 4.3.40-0
        - SSM を使用してチャネル選択を修正します(bsc#1226917)
        - メンテナンスウィンドウを使用する場合の日時選択を修正します(bsc#1228036)

    susemanager:

    - バージョン 4.3.39-0
      * Ubuntu 24.04 LTS のブートストラップを有効にします
    - バージョン 4.3.38-0
      * 欠落しているパッケージ python3-ply をブートストラップリポジトリ定義に追加します(bsc#1228130)
      * ハブシナリオの LTSS 更新で SUSE Manager Server 4.3 用の特別なブートストラップデータを作成します(bsc#1211899)
      * LTSS 更新を SUSE Manager Proxy 4.3 ブートストラップデータに追加します
      * sles15sp6 で boostrap repo に従来型スタックを追加(bsc#1228147)
      * パッケージを sle15sp6 の libdbus-glib-1-2 に変更します(bsc#1228147)

    susemanager-build-keys:

    - 2048 ビット SUSE SLE 12、15 GA-SP5 キーを 2028 年まで延長しました。(bsc#1229339)

    susemanager-docs_en:

    - Ubuntu 24.04 LTS を Client でサポートされるクライアント OS として文書化しました
    - SUSE Manager 4.3.14 ドキュメント更新
    - ネットワークポートセクションで、部分的に古くなった画像を削除し、クライアント用ポート 443 を追加し、内部のみで使用される Cobbler を削除(bsc#1217338)
    - インストールおよびアップグレードガイドの URL のリストに installer-updates.suse.com を追加(bsc#1229178)
    - パブリッククラウドガイドの IAM ロールのアクセス許可に関する説明が強化されました。
    - クライアント構成ガイドの OS マイナー番号を修正(bsc#1218090)
    - Package Hub に関する警告を追加(bsc#1221435)
    - Client Configuration Guide の Package Management の章から Verify Packages セクションを削除しました
    - 管理ガイドの PAM セクションにユーザー名に関する注記を追加(bsc#1227599)
    - Red Hat Enterprise Linux 9(bsc#1226687)の Content Lifecycle Management(CLM)の例が更新されました
    - 『インストールおよびアップグレードガイド』に、VM ベースのプロキシインストールを追加しました
    - PostgreSQL 名エンティティを修正しました
    - 改善された大規模デプロイメントガイドにより、より優れたチューニング値と追加パラメーターが追加されました
    - 『管理ガイド』の openSCAP 章の SUSE Linux Enterprise 堅牢化プロファイルのリストを更新しました

    susemanager-schema:

    - バージョン 4.3.27-0
      * PTF パッケージを検出するための新しい属性を導入します(bsc#1225619)

    susemanager-sls:

    - バージョン 4.3.45-0
      * Ubuntu で始まるリポジトリソースの DEB822 形式の使用を開始 24.04
    - バージョン 4.3.44-0
      * ランナー mgrutil.remove_ssh_known_host高速化(bsc#1223312)
      * RHEL およびクローンから SUSE Liberty Linux への製品移行を実装します
      * ブートストラップで SLEM のトランザクション更新タイマーを無効にします
      * Python のバージョンを更新する際に、古い venv-minion 環境を明示的に削除します
      * sumautil:ブリッジインターフェイスを適切に検出します(bsc#1226461)
      * ディレクトリの誤字を修正し、システムを削除する際にクリーンアップします(bsc#1228101)
      * プロキシの背後にサーバー名とクライアントがある場合、GPG URL を変換します(bsc#1223988)
      * CentOS7 ミニオンにない yum-utils パッケージを修正します(bsc#1227133)
      * AWS インスタンス検出用に IMDSv2 を実装します(bsc#1226090)
      * yum-utils がインストールされていない場合の CentOS 7 のパッケージプロファイル更新を修正します(bsc#1227133)
      * PostgreSQL エクスポーター用の特殊文字でパスワードの解析を修正します

    susemanager-sync-data:

    - バージョン 4.3.21-0
      * SLES15-SP5-LTSS チャネルファミリーを追加
      * MicroOS PPC チャネルファミリーを追加
    - バージョン 4.3.20-0
      * Ubuntu 24.04 サポートを追加します
    - バージョン 4.3.19-0
      * CentOS 7 個のリポジトリ URL を修正します(bsc#1227526)
      * SLES 12 SP5 LTSS Extended Security のチャネルファミリーを追加
      * RHEL およびクローンから SUSE Liberty Linux への製品移行を実装します

    uyuni-common-libs:

    - バージョン 4.3.11-0
      * ディレクトリ作成時に repo-sync でディレクトリ権限を強制します(bsc#1229260)
      * ISSv1 タイムゾーンを独立させます(bsc#1221505)

    uyuni-reportdb-schema:

    - バージョン 4.3.11-0
      * varchar が最大値に達したときのテキストタイプになるように列CVEエラータを変更(bsc#1226478)

    この更新を適用する方法:

    1. SUSE Manager Server に root ユーザーとしてログインします。
    2. 以下を実行して Spacewalk サービスを停止します。
    「spacewalk-service stop」3. zypper パッチまたは YaST Online Update のいずれかを使用して、パッチを適用します。
    4. 以下を実行して Spacewalk サービスを開始します。
    「spacewalk-service start」

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLES15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:4006-1 advisory.

    cobbler:

    - Security issues fixed:

      * CVE-2024-47533: Prevent privilege escalation from none to admin (bsc#1231332)

    - Other bugs fixed:

      * Increase start timeout for cobblerd unit (bsc#1219450)
      * Provide sync_single_system for DHCP modules to improve performance (bsc#1219450)
      * Add input_string_*, input_boolean, input_int functions to public API
      * Add new setting for Uyuni authentication endpoint (bsc#1219887)

    grafana-formula:

    - Version 0.11.0
      * Add SLES 15 SP6 to supported versions (bsc#1228286)

    inter-server-sync:

    - Version 0.3.5-0
      * Decode boolean values for export (bsc#1228545)

    saltboot-formula:

    - Update to version 0.1.1723628891.ffb1da5
      * Rework request stop function to avoid unnecessary warnings         (bsc#1212985)

    spacecmd:

    - Version 4.3.29-0
      * Speed up softwarechannel_removepackages (bsc#1227606)

    spacewalk-backend:

    - Version 4.3.30-0
      * Make ISSv1 timezone independent (bsc#1221505)
      * reposync: introduce timeout when syncing DEB channels (bsc#1225960)
      * yum_src: use proper name variable name for subprocess.TimeoutExpired
      * Check and populate PTF attributes at the time of importing         packages (bsc#1225619)
      * reposync: import GPG keys to RPM DB individually (bsc#1217003)
      * Add log string to the journal when services are stopped         because of insufficient disk space

    spacewalk-certs-tools:

    - Version 4.3.26-0
      * Fix private key format in jabberd certificate file (bsc#1228851)
      * Fix parsing Authority Key Identifier when keyid is not prefixed (bsc#1229079)
      * Support multiple certificates for root-ca-file and server-cert-file

    spacewalk-client-tools:

    - Version 4.3.21-0
      * Update translation strings

    spacewalk-config:

    - Version 4.3.14-0
      * Trust the Content-Length header from AJP (bsc#1226439)

    spacewalk-java:

    - Version 4.3.82-0
      * Limit frontend-log message size (bsc#1231900)
    - Version 4.3.81-0
      * Add detection of Ubuntu 24.04
    - Version 4.3.80-0
      * Use custom select instead of errata view for better performance         (bsc#1225619)
    - Version 4.3.79-0
      * Add info URL for cobbler to clean the system profile (bsc#1219645)
      * Require correct scap packages for Ubuntu
      * Require correct scap packages for Debian 12 (bsc#1227746)
      * Fix finding system_checkin_threshold configuration value on Sytems         Overview page (bsc#1224108)
      * Allow changing base channel to SUSE Liberty Linux LTSS when the system is on         Liberty (bsc#1228326)
      * Implement product migration from RHEL and Clones to SUSE Liberty         Linux
      * Remove system also from proxy SSH known_hosts (bsc#1228345)
      * Fix NullPointerException when generating subscription matcher         input (bsc#1228638)
      * Allow free products and SUSE Manager Proxy being managed by SUSE Manager         Server PAYG
      * Open bootstrap script directory URL in a new page (bsc#1225603)
      * Delay package list refresh when Salt was updated (bsc#1217978)
      * Add SLE Micro 5 to the list of systems which support monitoring (bsc#1227334)
      * Add all SLE Micro systems to the list of systems which get PTF repositories
      * Update last sync refresh timestamp only when at least one time products         were synced before
      * Prevent NullPointerException when listing history events without completion         time (bsc#1146701)
      * Autoinstallation: prevent issues with duplicate IP address due to some         networks (bsc#1226461)
      * Improve SQL queries and performance to check for PTF packages (bsc#1225619)
      * Check the correct Salt package before product migration (bsc#1224209)
      * Fix the date format output when using the HTTP API to use ISO 8601         format (bsc#1227543)
      * Fix transactional update check for SL Micro (bsc#1227406)
      * Improve score comparison in system search to fix ISE (bsc#1228412)
      * Fix package profile update on CentOS 7 when yum-utils is not         installed (bsc#1227133)

    spacewalk-utils:

    - Version 4.3.22-0
      * Add repositories for Ubuntu 24.04 LTS
    - Version 4.3.21-0
      * Drop unsupported tool spacewalk-final-archive as it is broken         and may disclose sensitive information (bsc#1228945)

    spacewalk-web:

    - Security issues fixed:

      * Version 4.3.42-0
        - CVE-2024-49503: Escape organization credentials username to           mitigate XSS vulnerability (bsc#1231922)
      * Version 4.3.41-0
        - CVE-2024-49502: Validate proxy hostname format and escape proxy           username to mitigate XSS vulnerabilities (bsc#1231852)

    - Bugs fixed:

      * Version 4.3.40-0
        - Fix channel selection using SSM (bsc#1226917)
        - Fix datetime selection when using maintenance windows (bsc#1228036)

    susemanager:

    - Version 4.3.39-0
      * Enable bootstrapping for Ubuntu 24.04 LTS
    - Version 4.3.38-0
      * Add missing package python3-ply to bootstrap repo definition (bsc#1228130)
      * Create special bootstrap data for SUSE Manager Server 4.3 with LTSS         updates for Hub scenario (bsc#1211899)
      * Add LTSS updates to SUSE Manager Proxy 4.3 bootstrap data
      * Add traditional stack to boostrap repo on sles15sp6 (bsc#1228147)
      * Change package to libdbus-glib-1-2 on sle15sp6 (bsc#1228147)

    susemanager-build-keys:

    - Extended 2048 bit SUSE SLE 12, 15 GA-SP5 key until 2028. (bsc#1229339)

    susemanager-docs_en:

    - Documented Ubuntu 24.04 LTS as a supported client OS in Client
    - SUSE Manager 4.3.14 documentation update
    - In network ports section, deleted partially outdated image, added       port 443 for clients, and removed Cobbler only used internally       (bsc#1217338)
    - Added installer-updates.suse.com to the list of URLs in Installation       and Upgrade Guide (bsc#1229178)
    - Enhanced instructions about the permissions for the IAM role       in Public Cloud Guide
    - Fixed OS minor number in Client Configuration Guide (bsc#1218090)
    - Added warning about Package Hub (bsc#1221435)
    - Removed Verify Packages section from Package Management chapter       in Client Configuration Guide
    - Added note about usernames in PAM section in Administration Guide       (bsc#1227599)
    - Updated Content Lifecycle Management (CLM) examples for Red Hat       Enterprise Linux 9 (bsc#1226687)
    - Added VM based proxy installation in Installation and Upgrade Guide
    - Fixed PostgreSQL name entity
    - Improved Large Deployments Guide with better tuning values and       extra parameters added
    - Updated lists of SUSE Linux Enterprise hardening profiles in openSCAP       chapter in the Administration Guide

    susemanager-schema:

    - Version 4.3.27-0
      * Introduce new attributes to detect PTF packages (bsc#1225619)

    susemanager-sls:

    - Version 4.3.45-0
      * Start using DEB822 format for repository sources beginning with Ubuntu 24.04
    - Version 4.3.44-0
      * Speed-up mgrutil.remove_ssh_known_host runner (bsc#1223312)
      * Implement product migration from RHEL and clones to SUSE Liberty Linux
      * Disable transactional-update.timer on SLEM at bootstrap
      * Explicitly remove old venv-minion environment when updating Python versions
      * sumautil: properly detect bridge interfaces (bsc#1226461)
      * Fix typo on directories to clean up when deleting a system (bsc#1228101)
      * Translate GPG URL if it has server name and client behind proxy         (bsc#1223988)
      * Fix yum-utils package missing on CentOS7 minions (bsc#1227133)
      * Implement IMDSv2 for AWS instance detection (bsc#1226090)
      * Fix package profile update on CentOS 7 when yum-utils is not         installed (bsc#1227133)
      * Fix parsing passwords with special characters for PostgreSQL         exporter

    susemanager-sync-data:

    - Version 4.3.21-0
      * Add SLES15-SP5-LTSS channel families
      * Add MicroOS PPC channel family
    - Version 4.3.20-0
      * Add Ubuntu 24.04 support
    - Version 4.3.19-0
      * Fix CentOS 7 repo urls (bsc#1227526)
      * Add channel family for SLES 12 SP5 LTSS Extended Security
      * Implement product migration from RHEL and clones to SUSE Liberty Linux

    uyuni-common-libs:

    - Version 4.3.11-0
      * Enforce directory permissions at repo-sync when creating         directories (bsc#1229260)
      * Make ISSv1 timezone independent (bsc#1221505)

    uyuni-reportdb-schema:

    - Version 4.3.11-0
      * Change Errata CVE column to type text as a varchar reaches the         maximum (bsc#1226478)

    How to apply this update:

    1. Log in as root user to the SUSE Manager Server.
    2. Stop the Spacewalk service:
    `spacewalk-service stop`     3. Apply the patch using either zypper patch or YaST Online Update.
    4. Start the Spacewalk service:
    `spacewalk-service start`

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:4007-1 advisory.

    release-notes-susemanager:

    - Update to SUSE Manager 4.3.14
      * Ubuntu 24.04 support as client
      * Product migration from RHEL and Clones to SUSE Liberty Linux
      * POS image templates now produce compressed images
      * Date format for API endpoints has been changed to ISO-8601 format
      * Security issues fixed:
        CVE-2024-47533, CVE-2024-49502, CVE-2024-49503
      * Bugs mentioned:
        bsc#1146701, bsc#1211899, bsc#1212985, bsc#1217003, bsc#1217338         bsc#1217978, bsc#1218090, bsc#1219450, bsc#1219645, bsc#1219887         bsc#1221435, bsc#1221505, bsc#1223312, bsc#1223988, bsc#1224108         bsc#1224209, bsc#1225603, bsc#1225619, bsc#1225960, bsc#1226090         bsc#1226439, bsc#1226461, bsc#1226478, bsc#1226687, bsc#1226917         bsc#1227133, bsc#1227334, bsc#1227406, bsc#1227526, bsc#1227543         bsc#1227599, bsc#1227606, bsc#1227746, bsc#1228036, bsc#1228101         bsc#1228130, bsc#1228147, bsc#1228286, bsc#1228326, bsc#1228345         bsc#1228412, bsc#1228545, bsc#1228638, bsc#1228851, bsc#1228945         bsc#1229079, bsc#1229178, bsc#1229260, bsc#1229339, bsc#1231332         bsc#1231852, bsc#1231922, bsc#1231900

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
212581	SUSE SLES15:cobbler / grafana-formula / inter-server-sync / mgr-daemon / etc(SUSE-SU-2024:4006-1)	Nessus	SuSE Local Security Checks	2024/12/12	2026/6/26	medium
212581	SUSE SLES15: cobbler / grafana-formula / inter-server-sync / mgr-daemon / etc (SUSE-SU-2024:4006-1)	Nessus	SuSE Local Security Checks	2024/12/12	2026/6/26	medium
212528	SUSE SLES15 Security Update : SUSE Manager Server 4.3 (SUSE-SU-2024:4007-1)	Nessus	SuSE Local Security Checks	2024/12/12	2025/8/14	medium

偵測

搜尋 Plugin

medium

medium

medium