現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 之 JBoss Enterprise Application Platform 5.1.2 的更新版 resteasy 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

RESTEasy 提供多種架構，協助您構建 RESTful Web 服務和 RESTful Java 應用程式。

據發現，RESTEasy 容易遭受 XML 外部實體 (XXE) 攻擊。如果遠端攻擊者提交一個包含外部 XML 實體的要求給 RESTEasy 端點，將會解析該實體，進而允許攻擊者讀取執行應用程式伺服器之使用者可存取的檔案。此瑕疵影響 DOM (文件物件模型) 文件與 JAXB (Java XML 繫結架構) 輸入。(CVE-2012-0818)

注意：CVE-2012-0818 的修正預設為不啟用。此更新可新增一個新的組態選項，以停用 RESTEasy 中的實體擴充。如果伺服器上的應用程式公開 RESTEasy XML 端點，resteasy.document.expand.entity.references 組態程式碼片段必須新增至其 web.xml 檔案，以停用 RESTEasy 中的實體擴充。如需詳細資訊，請參閱 Red Hat Bugzilla 錯誤 785631。

警告：套用此更新之前，請先備份 JBoss Enterprise Application Platform 的‘jboss-as/server/[PROFILE]/deploy/’目錄，以及所有其他自訂組態檔。

在 Red Hat Enterprise Linux 4、5 和 6 中使用 JBoss Enterprise Application Platform 5.1.2 的使用者應升級至這些更新版套件，以更正此問題。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

現已提供更新版 rhevm 套件，可修正一個安全性問題和多種錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 是一種視覺化工具，可用於集中管理執行 Red Hat Enterprise Linux 和 Microsoft Windows 的虛擬機器集合。這些套件還提供 Red Hat Enterprise Virtualization Manager REST (具象狀態傳輸) API，其為一組可編寫指令碼的命令，可供系統管理員在 Red Hat Enterprise Virtualization Manager 上執行查詢和作業。

據發現，RESTEasy 容易遭受 XML 外部實體 (XXE) 攻擊。如果能夠存取 Red Hat Enterprise Virtualization Manager REST API 的遠端攻擊者提交一個包含外部 XML 實體的要求給 RESTEasy 端點，將會解析該實體，進而允許攻擊者讀取執行應用程式伺服器之使用者可存取的檔案。此瑕疵影響 DOM (文件物件模型) 文件與 JAXB (Java XML 繫結架構) 輸入。(CVE-2012-0818)

此更新也可修正下列錯誤：

* 先前，REST API 會忽略「Accept」標頭。此可導致無法擷取有關特定子集合的詳細資訊，包括主機和磁碟。REST API 已更新，現可如預期地處理「Accept」標頭。
(BZ#771369)

* 先前會一律設定「start_time」虛擬機器內容。
這表示即使虛擬機器已停止，仍會有「start_time」值。現已提供更新，確保只有在虛擬機器啟動並執行時，才設定「start_time」內容。(BZ#772975)

*「rhevm-setup」指令碼先前只有在地區設定設為「en_US.UTF-8」、「en_US.utf-8」或「en_US.utf8」的系統中，才能成功執行。指令碼現已更新，也可在其他地區設定中成功執行，包括「ja_JP.UTF-8」。
(BZ#784860)

* REST API 先前在啟用電源管理時，並未驗證是否已提供所有必要參數。傳回的回應程式碼也會不正確指示作業已成功執行，但其實並未提供強制參數。現已提供更新，確保電源管理參數已正確驗證。(BZ#785744)

* 先前，主機上的可用磁碟空間不足時，系統不會顯示警告或錯誤訊息。主機上沒有任何可用的磁碟空間時，其會在未事先顯示任何警告的情況下，直接進入無法回應的狀態。現已提供更新，當主機的可用磁碟空間少於 1000 MB 時，將在稽核記錄檔中報告警告；若主機的可用磁碟空間少於 500 MB，則顯示錯誤訊息。(BZ#786132)

* 匯入虛擬機器時，若網路介面卡的 MAC 位址和現有虛擬機器的 MAC 位址相衝突，系統並不會提供任何通知訊息。現在若發生此情況，則會在稽核記錄檔中列印訊息，強調需要進行手動干預處理。
(BZ#795416)

* 先前，無法使用 rhevm-config 工具針對 SpiceSecureChannels 設定多於或少於一個值。這表示無法加密所有 SPICE 通道。rhevm-config 工具已更新，現可將 SPICE 通道新增到 SpiceSecureChannels 組態金鑰，進而加密所有 SPICE 通道。(BZ#784012)

建議所有 Red Hat Enterprise Virtualization 使用者皆升級至這些更新版套件，其可解決此弱點並修正這些錯誤。請參閱〈解決方案〉一節中有關如何安裝此更新的資訊。

現已提供適用於 Red Hat Storage Server 2.1 的更新版 Red Hat Storage Console 套件，可修正一個安全性問題、多種錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Storage Console (RHS-C) 是一個功能強大而且簡單的 web 型圖形使用者介面，可用來管理 Red Hat Storage 2.1 環境。此功能是以技術預覽的形式提供，目前在 Red Hat Storage 訂閱服務下不受支援。
如需有關技術預覽的詳細資訊，請參閱下列網頁：
https://access.redhat.com/support/offerings/techpreview/

據發現，RESTEasy 容易遭受 XML 外部實體 (XXE) 攻擊。如果能夠存取 Red Hat Storage Console REST API 的遠端攻擊者提交一個包含外部 XML 實體的要求給 RESTEasy 端點，將會解析該實體，進而允許攻擊者讀取執行應用程式伺服器之使用者可存取的檔案。此瑕疵影響 DOM (文件物件模型) 文件與 JAXB (Java XML 繫結架構) 輸入。
(CVE-2012-0818)

此更新也可修正下列錯誤：

* 如果伺服器上未安裝所需的套件，可能無法將新的伺服器新增至叢集。現在，系統管理員可以將伺服器新增至將自動安裝所需套件 (若遺漏) 的叢集。(BZ#850431)

* 先前 rhs-log-collector 工具未收集 GlusterFS 相關記錄。(BZ#855271)

* 先前 rhsc-setup 無法在已停用模式下具備 SELinux 的系統上成功完成。
(BZ#841342)

* [新增基礎構件] 快顯視窗中的 [新增基礎構件] 按鈕現在放在 [基礎構件目錄] 欄位旁邊，以獲得更佳的 UI 體驗。(BZ#863929)

* 看不到磁碟區的 UUID。現在，新欄位已新增至 [磁碟區] 索引標籤的 [摘要] 子索引標籤中，以顯示 UUID。
(BZ#887806)

* 伺服器重新開機後無法存取 web 主控台。設定機制已修改，以確保在伺服器重新開機後可存取 web 主控台。(BZ#838284)

此更新也新增了下列增強功能：

* 先前，要將現有的儲存叢集匯入至 Red Hat Storage Console 時，會逐一新增主機。現在已新增可讓使用者匯入現有儲存叢集的新功能。新的 [建立叢集] 視窗包含一個可匯入現有儲存叢集的選項。如果輸入其中一個叢集主機的 IP_Address 或主機名稱和密碼，就會顯示一個包含所有叢集主機的清單，而且可以將該清單新增至 Console 中。系統也會匯入叢集所屬的磁碟區。
(BZ#850438)

* 需要有命令行，才能啟用使用 CIFS 的磁碟區。現在，您可以使用 [建立磁碟區] 視窗中的新 [CIFS] 核取方塊，啟用或停用磁碟區的匯出。(BZ#850452)

* 適用於 Red Hat Storage 的新 Red Hat Support 外掛程式是一個技術預覽功能，可針對來自 Red Hat 客戶入口網站的 Red Hat 訂閱服務，提供整合式的無縫存取。安裝此外掛程式的訂閱者可以存取這些功能：

- 建立、管理與更新 Red Hat 支援案例。- 方便地存取獨佔的 Red Hat 知識和解決方案。- 搜尋錯誤碼、訊息等，並從 Red Hat 客戶入口網站檢視相關的知識。
 (BZ#999245)

* 新的 [事件 ID] 欄已新增至 [事件] 索引標籤之 [進階檢視] 中的 [事件] 表格，此欄可讓使用者看到 [事件] 索引標籤中的每個事件 ID。(BZ#889942)

* 已新增一個功能，可管理和監控 Console 上的勾點。此功能也會報告勾點中的變更，並透過定期輪詢，檢查新的勾點指令碼。(BZ#850483)

* 已新增 [針對虛擬存放區最佳化] 選項，可將某個磁碟區最佳化，以便將其當做虛擬存放區使用。系統會設定磁碟區上的 ‘virt’ 群組選項，也會設定以下兩個磁碟區選項：

- storage.owner-uid=36 - storage.owner-gid=36

此選項可在建立磁碟區期間使用，也可以用於現有的磁碟區。(BZ#891493、BZ#891491)

建議所有 Red Hat Storage Server 2.1 使用者皆升級至這些更新版套件。

根據其自我報告的版本號碼，遠端 Junos Space 版本為 13.3R1.8 以前的版本。因此，受到隨附的第三方軟體元件中多個弱點影響：

- RedHat JBoss 應用程式伺服器中的多個弱點。(CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、CVE-2011-5245、CVE-2012-0818)

- Oracle Java SE JDK 中的多個弱點。
 (CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、CVE-2013-2422)

- Oracle MySQL 伺服器中的多個弱點。
 (CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839)

- Apache HTTP Server 中的多個弱點。
 (CVE-2013-1862、CVE-2013-1896)

- 已知的硬式編碼 MySQL 認證。(CVE-2014-3413)

ID	名稱	產品	系列	已發布	已更新	嚴重性
64046	RHEL 4 / 5 / 6：resteasy (RHSA-2012:1059)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
79284	RHEL 6 : rhevm (RHSA-2012:0421)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
79289	RHEL 6：Storage Server (RHSA-2013:1263)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
80195	Juniper Junos Space < 13.3R1.8 多個弱點 (JSA10627)	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical

偵測

搜尋 Plugin

medium

medium

medium

critical