遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020:3247 公告中提及的多個弱點影響。

    ovirt-engine 套件提供的 Red Hat Virtualization Manager 是一種集中式管理平台，可讓系統管理員檢視和管理虛擬機器。Manager 提供完整的功能，包括：搜尋功能、資源管理、即時移轉，以及虛擬基礎結構佈建等等。

    這個 Manager 是一種 JBoss Application Server 應用程式，提供多種介面，可讓使用者透過這些介面存取虛擬環境並與之互動，包括：管理入口網站、VM 入口網站，以及具象狀態傳輸 (REST) 應用程式開發介面 (API)。

    下列「技術提示」手冊中提供本更新所修正的錯誤清單：

    https://access.redhat.com/documentation/en-us/red_hat_virtualization/4.4/html-single/technical_notes

    安全性修正：

    * apache-commons-beanutils：未預設隱藏 PropertyUtilsBean 中的類別屬性 (CVE-2019-10086)

    * libquartz：透過工作描述發動的 XXE 攻擊 (CVE-2019-13990)

    * novnc：透過傳播至狀態欄位的訊息導致的 XSS 弱點 (CVE-2017-18635)

    * bootstrap：工具提示或彈出式視窗 data-template 屬性中存在 XSS 弱點 (CVE-2019-8331)

    * nimbus-jose-jwt：剖析 JWT 時未攔截到的例外狀況 (CVE-2019-17195)

    * ovirt-engine：response_type 參數允許反映式 XSS (CVE-2019-19336)

    * nodejs-minimist：原型污染允許使用建構函式或 __proto__ 承載新增或修改 Object.prototype 的屬性 (CVE-2020-7598)

    * ovirt-engine：重新導向至任意 URL 允許網路釣魚 (CVE-2020-10775)

    * 存在跨網站指令碼，這是 injQuery.htmlPrefilter 方法不當所致 (CVE-2020-11022)

    * jQuery：將包含 <option> 元素的 HTML 傳遞至操控方法可導致不受信任的程式碼執行 (CVE-2020-11023)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 8：RHV Manager (ovirt-engine) 4.4 (RHSA-2020:3247)

critical Nessus Plugin ID 210560

版本 1.2