The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2013:0547 advisory.

    Red Hat CloudForms is an on-premise hybrid cloud     Infrastructure-as-a-Service (IaaS) product that lets you create and manage     private and public clouds. It provides self-service computing resources to     users in a managed, governed, and secure way. CloudForms System Engine can     be used to configure new systems, subscribe to updates, and maintain     installations in distributed environments.

    It was found that the     /usr/share/katello/script/katello-generate-passphrase utility, which is     run during the installation and configuration process, set world-readable     permissions on the /etc/katello/secure/passphrase file. A local attacker     could use this flaw to obtain the passphrase for Katello, giving them     access to information they would otherwise not have access to.
    (CVE-2012-5561)

    Note: After installing this update, ensure the     /etc/katello/secure/passphrase file is owned by the root user and group     and mode 0750 permissions. Sites should also consider re-creating the     Katello passphrase as this issue exposed it to local users.

    One task the katello-configure utility performs is creating an RPM to be     installed on client machines that need to connect to the Katello server. It     was found that this RPM set world-readable and writable permissions on the     pem file (containing the Certificate Authority certificate) used for     trusting the Katello server. An attacker could use this flaw to perform a     man-in-the-middle attack, allowing them to manage (such as installing and     removing software) Katello client systems. (CVE-2012-6116)

    The CVE-2012-5561 issue was discovered by Aaron Weitekamp of the Red Hat     Cloud Quality Engineering team, and CVE-2012-6116 was discovered by Dominic     Cleal and James Laska of Red Hat.

    This update also fixes the following bugs:

    * The CloudForms System Engine command line tool incorrectly parsed     locales, which caused the following error:

    translation missing: de.activerecord.errors.messages.record_invalid

    This update replaces the controller for setting the locale. The translation     error no longer appears. (BZ#896251)

    * Certain locales did not properly escape certain UI content for new role     creation. This broke the Save button for some locales. This update corrects     the escape behavior for localized UI content. The Save button now works     for new role creation. (BZ#896252)

    * A missing icon stopped users from deleting recent or saved searches. This     update adds the icon and users can now delete recent or saved searches.
    (BZ#896253)

    * A performance issue in the Candlepin 0.7.8 component caused subscription     responsiveness to decrease as the number of systems subscribed to     CloudForms System Engine increases. This erratum updates to Candlepin     0.7.19, which corrects the performance issues. (BZ#896261)

    * CloudForms System Engine would not fetch Extended Update Service (EUS)     entitlements. This blocked the user from seeing and enabling EUS     repositories. This update revises the manifest upload and deletion code,     which also corrects the behavior for fetching entitlements. System Engine     now fetches EUS entitlements. (BZ#896265)

    * Issues with menu widths caused the localized UI to not render certain     menu items. This update corrects the style for the System Engine UI. The     Web UI now renders the menu items correctly. (BZ#903702)

    Refer to the CloudForms 1.1.2 Release Notes for further information about     this release. The Release Notes will be available shortly from     https://access.redhat.com/knowledge/docs/

    To upgrade, follow the upgrade instructions in the CloudForms Installation     Guide, section 4.1. Upgrading CloudForms System Engine:

    https://access.redhat.com/knowledge/docs/en-US/CloudForms/1.1/html/Installation_Guide/index.html

    Users of CloudForms System Engine are advised to upgrade to these updated     packages.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2013:0547 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat CloudForms は、プライベートクラウドおよびパブリッククラウドの作成と管理を可能にする、オンプレミスのハイブリッドクラウド Infrastructure-as-a-Service (IaaS) 製品です。これは、管理および統制された安全な方法でユーザーにセルフサービスコンピューティングリソースを提供します。CloudForms システムエンジンを使用して、新しいシステムを設定し、更新をサブスクリプションし、分散環境へのインストールを維持できます。

    インストールおよび設定プロセス中に実行している「/usr/share/katello/script/katello-generate-passphrase」ユーティリティは、「/etc/katello/secure/passphrase」ファイルで誰でも読み取りできるアクセス許可が設定されていることが見つかりました。ローカルの攻撃者がこの欠陥を使用して、Katello のパスフレーズを取得し、通常ではアクセス権のない情報に対するアクセスを与える可能性があります。
    (CVE-2012-5561)

    注: この更新をインストールした後、「/etc/katello/secure/passphrase」ファイルが、root ユーザーおよびグループ、モード 0750 権限で所有されていることを確認してください。この問題がローカルユーザーも対象として含めるため、サイトは Katello パスフレーズの再作成を考慮する必要があります。

    katello-configure ユーティリティが実行するタスクの 1 つは、Katello サーバーに接続する必要があるクライアントマシンにインストールする RPM を作成することです。この RPM が、Katello サーバーを信頼するために使用される pem ファイル (認証局による証明書を含む) に、グローバルな読み取りおよび書き込み可能なアクセス許可を設定していることが判明しました。攻撃者はこの欠陥を利用して中間者攻撃を実行し、Katello クライアントシステムを管理 (ソフトウェアのインストールと削除など) できるようになる可能性があります。(CVE-2012-6116)

    CVE-2012-5561 の問題は、Red Hat Cloud Quality Engineering チームの Aaron Weitekamp 氏により発見されました。また、CVE-2012-6116 は、Red Hat の Dominic Cleal 氏および James Laska 氏により発見されました。

    この更新では、次のバグも修正しています。

    * CloudForms システムエンジンコマンドラインツールがローカルを正しく解析したため、次のエラーが発生しました。

    変換がありません: de.activerecord.errors.messages.record_invalid

    この更新は、ロケールを設定するためにコントローラーを置き換えます。変換エラーは表示されなくなりました。(BZ#896251)

    * 特定のロケールで、新しいロール作成用の特定の UI コンテンツが適切にエスケープされませんでした。このため、一部のローカルの [保存] ボタンが機能しません。この更新は、ローカル化された UI コンテンツのエスケープ動作を修正します。[保存] ボタンが新しいロール作成時に機能するようになりました。(BZ#896252)

    * アイコンが表示されないため、ユーザーが最近または保存した検索を削除できなくなりました。この更新により、アイコンが追加され、ユーザーは最近の検索や保存された検索を削除できるようになります。
    (BZ#896253)

    * Candlepin 0.7.8 コンポーネントのパフォーマンスの問題により、CloudForms システムエンジンをサブスクリプションするシステムの数が増加するにつれ、サブスクリプションの応答性が低下します。このエラーは、パフォーマンスの問題を修正する Candlepin 0.7.19 に更新されます。(BZ#896261)

    * CloudForms システムエンジンは、拡張更新サービス (EUS) エンタイトルメントを取得しませんでした。これにより、ユーザーは EUS リポジトリを表示および有効化できませんでした。この更新により、マニフェストのアップロードおよび削除コードが修正され、エンタイトルメントを取得する動作も修正されます。システムエンジンが EUS エンタイトルメントを取得するようになりました。(BZ#896265)

    * メニュー幅の問題により、ローカライズされた UI が特定のメニュー項目をレンダリングしませんでした。この更新により、システムエンジン UI の形式が修正されます。ウェブ UI はメニューアイテムを正しくレンダリングするようになりました。(BZ#903702)

    このリリースの詳細については、『CloudForms 1.1.2 リリースノート』を参照してください。リリースノートは間もなく、https://access.redhat.com/knowledge/docs/からアクセスできるようになります。

    アップグレードするには、『CloudForms インストールガイド』のセクション 4.1にあるアップグレード手順に従ってください。CloudForms システムエンジンのアップグレード:

    https://access.redhat.com/knowledge/docs/en-US/CloudForms/1.1/html/Installation_Guide/index.html

    CloudForms システムエンジンのユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:0547 公告中提及的多個弱點影響。

    Red Hat CloudForms 是一種內部部署混合雲端基礎架構即服務 (IaaS) 產品，可讓您建立並管理私有和公有雲端。它以受管理、受管控且安全的方式為使用者提供自助式運算資源。CloudForms System Engine 可用於設定新系統、訂閱更新，以及維護分散式環境中的安裝。

    據發現，在安裝和組態處理程序期間執行的 /usr/share/katello/script/katello-generate-passphrase 公用程式會對 /etc/katello/secure/passphrase 檔案設定任何人皆可讀取的權限。本機攻擊者可利用此瑕疵取得 Katello 的密碼，從而存取其原本無法存取的資訊。
    (CVE-2012-5561)

    注意：安裝此更新之後，請確保 /etc/katello/secure/passphrase 檔案是由 root 使用者和群組及模式 0750 權限所擁有。網站也應考慮重新建立 Katello 密碼，因為此問題會將密碼洩漏給本機使用者。

    katello-configure 公用程式執行的其中一項工作是建立要安裝在需要連線至 Katello 伺服器的用戶端電腦上的 RPM。據發現，此 RPM 會在用於信任 Katello 伺服器的 pem 檔案 (包含憑證授權單位憑證) 上，設定任何人皆可讀取和寫入的權限。攻擊者可利用此缺陷發動攔截式攻擊，進而允許他們管理 (例如安裝和移除軟體) Katello 用戶端系統。(CVE-2012-6116)

    CVE-2012-5561 問題是由 Red Hat Cloud Quality Engineering 團隊的 Aaron Weitekamp 所發現，而 CVE-2012-6116 是由 Red Hat 的 Dominic Cleal 和 James Laska 所發現。

    此更新也可修正下列錯誤：

    * CloudForms System Engine 命令行工具未正確剖析地區設定，進而造成下列錯誤：

    缺少轉譯：de.activerecord.errors.messages.record_invalid

    此更新取代了控制器以設定地區。不會再出現轉譯錯誤。 (BZ#896251)

    * 部分地區設定未正確逸出特定 UI 內容以建立新角色。這會損毀某些地區設定的「儲存」按鈕。此更新可更正當地語系化 UI 內容的逸出行為。「儲存」按鈕現可用於建立新角色。(BZ#896252)

    * 缺少的圖示會阻止使用者刪除最近或已儲存的搜尋。此更新會新增圖示，因此使用者現在可以刪除最近或已儲存的搜尋。
    (BZ#896253)

    * Candlepin 0.7.8 元件中的效能問題導致訂閱回應能力隨著訂閱 CloudForms System Engine 的系統數量增加而降低。此錯字勘誤表會更新至 Candlepin 0.7.19，其可更正效能問題。(BZ#896261)

    * CloudForms System Engine 不會擷取 Extended Update Service (EUS) 權利。這會阻止使用者檢視和啟用 EUS 存放庫。此更新會修正資訊清單上傳和刪除程式碼，進而也更正了擷取權利的行為。System Engine 現在可以擷取 EUS 權利。(BZ#896265)

    * 功能表寬度問題造成當地語系化的 UI 無法呈現特定功能表項目。此更新可更正 System Engine UI 的樣式。Web UI 現在可以正確呈現功能表項目。(BZ#903702)

    如需有關此版本的進一步資訊，請參閱 CloudForms 1.1.2 版本資訊。版本資訊近期將可從 https://access.redhat.com/knowledge/docs/ 取得

    若要升級，請依照 CloudForms 安裝指南第 4.1 節中的升級指示進行。升級 CloudForms System Engine：

    https://access.redhat.com/knowledge/docs/en-US/CloudForms/1.1/html/Installation_Guide/index.html

    建議 CloudForms System Engine 的使用者升級至這些更新版套件。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:0547 公告中提及的多个漏洞的影响。

    Red Hat CloudForms 是一种本地混合云基础架构即服务 (IaaS) 产品，用于创建和管理私有云与公有云。它以可管理、可管控的安全方式为用户提供自助式计算资源。CloudForms System Engine 可用于在分布式环境中配置新系统，订阅更新以及维护安装。

    发现在安装和配置过程中运行的 /usr/share/katello/script/katello-generate-passphrase 实用工具在 /etc/katello/secure/passphrase 文件中设置了全局可读权限。本地攻击者可利用此缺陷获取 Katello 的密码，从而访问其原本没有访问权限的信息。
    (CVE-2012-5561)

    注意：安装此更新后，请确保 /etc/katello/secure/passphrase 文件归根用户和群组以及模式 0750 权限所有。站点还应考虑重新创建 Katello 密码，因为此问题已将密码暴露给本地用户。

    katello-configure 实用工具执行的一项任务是创建 RPM 并将其安装在需要连接到 Katello 服务器的客户端计算机上。已发现此 RPM 对用于信任 Katello 服务器的 pem 文件（包含证书颁发机构的证书）设置了全局可读和可写入的权限。攻击者可利用此缺陷执行中间人攻击，从而允许其管理（如安装和删除软件）Katello 客户端系统。(CVE-2012-6116)

    CVE-2012-5561 问题由 Red Hat Cloud 质量工程团队的 Aaron Weitekamp 发现， CVE-2012-6116 由 Red Hat 的 Dominic Cleal 和 James Laska 发现。

    此更新还修复以下缺陷：

    * CloudForms System Engine 命令行工具未正确解析区域设置，从而导致以下错误：

    缺少转换：de.activerecord.errors.messages.record_invalid

    此更新替换用于设置区域设置的控制器。不再出现转换错误。 (BZ#896251)

    * 某些区域设置未为创建新角色正确转义某些 UI 内容。这破坏了某些区域设置的“保存”按钮。此更新修正了本地化 UI 内容的转义行为。“保存”按钮现在可用于创建新角色。(BZ#896252)

    * 缺少的图标阻止用户删除最近或保存的搜索。此更新添加了图标，用户现在可以删除最近或已保存的搜索。
    (BZ#896253)

    * Candlepin 0.7.8 组件中的性能问题导致订阅响应性随着订阅 CloudForms System Engine 的系统数量的增加而降低。此勘误表更新到 Candlepin 0.7.19，修正了性能问题。(BZ#896261)

    * CloudForms System Engine 不会获取 Extended Update Service (EUS) 权利。这会阻止用户查看和启用 EUS 存储库。此更新修订了清单上传和删除代码，还修正了获取权利的行为。系统引擎现在提取 EUS 授权。 (BZ#896265)

    * 菜单宽度问题导致本地化 UI 不呈现某些菜单项。此更新会修正系统引擎 UI 的样式。Web UI 现在正确显示菜单项。(BZ#903702)

    请参阅 CloudForms 1.1.2 发行说明以了解有关此版本的更多信息。很快将可通过 https://access.redhat.com/knowledge/docs/ 获得发行说明

    要升级，请参阅 CloudForms 安装指南 4.1 部分中的升级说明。升级 CloudForms System Engine：

    https://access.redhat.com/knowledge/docs/en-US/CloudForms/1.1/html/Installation_Guide/index.html

    建议 CloudForms System Engine 用户升级到这些更新后的程序包。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
210166	RHEL 6 : CloudForms System Engine 1.1.2 update (Moderate) (RHSA-2013:0547)	Nessus	Red Hat Local Security Checks	11/4/2024	4/15/2025	medium
210166	RHEL 6 : CloudForms System Engine 1.1.2 の更新プログラム (重要度中) (RHSA-2013:0547)	Nessus	Red Hat Local Security Checks	11/4/2024	4/15/2025	medium
210166	RHEL 6：CloudForms System Engine 1.1.2 更新 (中等) (RHSA-2013:0547)	Nessus	Red Hat Local Security Checks	11/4/2024	4/15/2025	medium
210166	RHEL 6：CloudForms System Engine 1.1.2 更新（中危） (RHSA-2013:0547)	Nessus	Red Hat Local Security Checks	11/4/2024	4/15/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium