远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2016:2839 公告中提及的漏洞的影响。

    Red Hat CloudForms Management Engine 提供可解决管理虚拟环境难题所需的见解、控件和自动化。CloudForms Management Engine 基于 Ruby on Rails 构建，后者是适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架。Action Pack 实施控制器和视图组件。

    安全修复：

    * 在处理容量和利用率导入的控制文件的方式中发现一个代码注入缺陷。具有容量和利用率功能访问权限的经身份验证的远程攻击者可利用此缺陷在用户 CFME 运行时执行任意代码。(CVE-2016-5402)

    此问题由 Simon Lukasik (Red Hat) 发现。

    其他变更：

    此更新还修复了各种缺陷并添加了多项增强。值得注意的变更包括：

    Automate 组件的更改：

    * 此版本的 CloudForms 允许在不指定主机而验证群集的情况下配置虚拟机。在 VMware 上进行配置时，CloudForms 现在会验证是否选择了主机或群集。(BZ#1378116)

    Providers 组件的更改：

    * 在以前版本的 CloudForms 中，当尝试打开实例的 VNC 控制台时，CloudForms 无法连接，因为该租户不存在实例 - 它尝试使用错误的租户。此更新解决了打开 VNC 控制台时的租户问题。
    CloudForms 现在可以成功连接，而不会出错。(BZ#1370207)

    Provisioning 组件的更改：

    * 在之前的 CloudForms 版本中，当目标数据中心嵌套在多个文件夹下时，克隆 VMware 模板会失败。这是因为如果数据中心在逻辑上嵌套在多个文件夹下，用户就无法在自动配置 VMware 供应请求中找到配置 ID。此修复始终从主机数据中心查找文件夹路径，而非静态设置可能错误的默认值，其已解决了 问题。(BZ#1361174)

    对 Replication 组件的更改：

    * 在之前版本的 CloudForms 中，成功保存的复制订阅的订阅验证失败。这是因为 UI 直接完成了验证，而 UI 无权访问当前保存的订阅的密码。当用户最初保存订阅时输入密码，验证就会通过，但一旦需要从数据库中检索订阅，验证就会失败。此更新修复了已保存复制订阅的验证失败。(BZ#1378554)

    对漏洞组件的更改：

    * 在处理容量和利用率导入的控制文件的方式中发现一个代码注入缺陷。具有容量和利用率功能访问权限的经身份验证的远程攻击者可利用此缺陷在用户 CFME 运行时执行任意代码。(BZ#1357559)

    * 在以前版本的 CloudForms 中，当尝试保存子网/路由器/安全组/浮动 IPs/网络端口中的过滤器时，会出现异常。这是由于缺少网络资源路由造成的。此更新添加了网络资源的缺失路由，问题现已解决。
    (BZ#1370573)

    * 在之前的 CloudForms 版本中，数据存储中的“我的筛选条件”无法点击，且其下未显示任何筛选条件。此更新启用了数据存储中的 My Filters，问题现已解决。(BZ#1379727)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2016:2839 公告中提及的弱點影響。

    Red Hat CloudForms Management Engine 提供因應管理虛擬環境挑戰所需的深入見解、控制機制及自動化服務。CloudForms Management Engine 建置在 Ruby on Rails 上，後者是一個適用於 Web 應用程式開發的模型檢視控制器 (MVC) 架構。Action Pack 可實作控制器和檢視元件。

    安全性修正：

    * 在處理容量和利用率匯入控制檔案的方式中發現程式碼插入缺陷。能夠存取容量和利用率功能，同時經驗證的遠端攻擊者可利用此瑕疵，以執行 CFME 的使用者身分執行任意程式碼。(CVE-2016-5402)

    此問題是由 Simon Lukasik (Red Hat) 發現。

    其他變更：

    此更新亦可修復各種錯誤，並新增數個增強功能。值得注意的變更包括：

    Automate 元件的變更：

    * 此 CloudForms 版本允許在不指定主機但是驗證叢集的情況下佈建虛擬機器。CloudForms 現在會驗證在 VMware 上佈建時是否選取主機或叢集。(BZ#1378116)

    Providers 元件的變更：

    * 在舊版 CloudForms 中，嘗試開啟連至執行個體的 VNC 主控台時，CloudForms 無法連線，因為該租用戶的執行個體不存在 - 其已嘗試使用錯誤的租用戶。此更新會在開啟 VNC 主控台時指定租戶，其已解決該問題。
    CloudForms 現在能夠成功連線而不會出現錯誤。(BZ#1370207)

    Provisioning 元件的變更：

    * 在舊版 CloudForms 中，當目標資料中心在多個資料夾下方進行套疊時，複製 VMware 範本會失敗。這是因為如果資料中心在各種不同的資料夾下方進行邏輯套疊，使用者在自動放置 VMware 佈建要求期間就無法找到放置 ID。此修正一律會從主機資料中心查閱資料夾路徑，而非以靜態方式設定已解決問題的可能錯誤預設值。(BZ#1361174)

    Replication 元件的變更：

    * 在舊版 CloudForms 中，已成功儲存的複製訂閱會發生訂閱驗證失敗。這是由於驗證是由無權存取目前已儲存訂閱密碼的 UI 直接完成。若使用者在初次儲存訂閱時輸入密碼，即可通過驗證，但是在需要從資料庫擷取訂閱時驗證失敗。本次更新已修正在儲存複製訂閱驗證失敗的問題。(BZ#1378554)

    弱點元件的變更：

    * 在處理容量和利用率匯入控制檔案的方式中發現程式碼插入缺陷。能夠存取容量和利用率功能，同時經驗證的遠端攻擊者可利用此瑕疵，以執行 CFME 的使用者身分執行任意程式碼。(BZ#1357559)

    * 在舊版 CloudForms 中，嘗試在子網路/路由器/安全性群組/浮動 IP/網路連接埠中儲存篩選時，會出現例外狀況。這是因為缺少網路資源的路由所造成。此更新會新增網路資源的遺漏路由，同時此問題現已解決。
    (BZ#1370573)

    * 在舊版 CloudForms 中，無法點選資料儲存區中的 My Filters，且其底下不會顯示任何篩選器。此更新已在資料儲存區中啟用 My Filters，同時此問題現已解決。(BZ#1379727)

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2016:2839 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat CloudForms Management Engine は、仮想環境の管理の課題に対処する上で必要なインサイト、制御、自動化を提供します。CloudForms Management Engineは、Webアプリケーション開発用のmodel-view-controller（MVC）フレームワークであるRuby on Rails上にビルドされています。Action Packは、コントローラーとビューのコンポーネントを実装します。

    セキュリティ修正プログラム:

    * 容量と使用率がインポートされた制御ファイルが処理される方法に、コードインジェクションの欠陥が見つかりました。容量と使用率の機能にアクセスできるリモートの認証された攻撃者がこの欠陥を利用して、CFME が実行されているユーザーが任意のコードを実行する可能性があります。(CVE-2016-5402)

    この問題は、Simon Lukasik 氏 (Red Hat) により発見されました。

    追加の変更:

    また、この更新プログラムでは複数のバグが修正され、さまざまな拡張機能が追加されます。重要な変更には以下のものが含まれています。

    Automate コンポーネントに対する変更:

    * CloudForms のこのリリースでは、ホストを指定せずにクラスターを検証することなく、仮想マシンをプロビジョニングできます。CloudForms は、VMware でのプロビジョニング時に、ホストとクラスターのどちらが選択されているかを検証するようになりました。(BZ#1378116)

    Providers コンポーネントに対する変更:

    * CloudForms の以前のバージョンでは、VNC コンソールをインスタンスに開こうとすると、CloudForms はそのテナントに対してインスタンスが存在しないため接続に失敗しました - 間違ったテナントを使用しようとしました。この更新では、VNC コンソールを開くときのテナントを指定して、問題を解決しました。
    CloudForms はエラーなしで正常に接続できるようになりました。(BZ#1370207)

    Provisioning コンポーネントに対する変更:

    * 以前のバージョンの CloudForms では、ターゲットのデータセンターが複数のフォルダーの下にネストされている場合、VMware テンプレートの複製に失敗していました。これは、データセンターがさまざまなフォルダーの下に論理的にネストされている場合、ユーザーが自動配置の VMware プロビジョニングリクエスト中に配置 ID を見つけることができなかったためです。この修正では、間違っている可能性があるデフォルト値を静的に設定する代わりに、ホストデータセンターから常にフォルダーパスの検索を行うことで、問題を解決しています。(BZ#1361174)

    レプリケーションコンポーネントに対する変更:

    * CloudForms の以前のバージョンでは、正常に保存されたレプリケーションサブスクリプションのサブスクリプション検証が失敗していました。これは、現在保存されているサブスクリプションのパスワードにアクセスできない UI によって検証が直接実行されたためです。最初にサブスクリプションを保存するときにユーザーがパスワードを入力した場合、検証は合格となりますが、サブスクリプションをデータベースから取得する必要が生じた場合は失敗です。この更新では、保存されたレプリケーションサブスクリプションの検証失敗が修正されています。(BZ#1378554)

    脆弱性コンポーネントに対する変更:

    * 容量と使用率がインポートされた制御ファイルが処理される方法に、コードインジェクションの欠陥が見つかりました。容量と使用率の機能にアクセスできるリモートの認証された攻撃者がこの欠陥を利用して、CFME が実行されているユーザーが任意のコードを実行する可能性があります。(BZ#1357559)

    * CloudForms の以前のバージョンでは、サブネット / ルーター / セキュリティグループ / 浮動 IP / ネットワークポートにフィルターを保存しようとすると、例外が表示されました。これは、ネットワークリソースのルートがないことが原因でした。この更新により、欠落しているネットワークリソースのルートが追加され、問題が解決されました。
    (BZ#1370573)

    * 以前のバージョンの CloudForms では、データストアのマイフィルターがクリックできず、その下にフィルターが表示されませんでした。この更新により、データストアのマイフィルターが有効になり、問題が解決しました。(BZ#1379727)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2016:2839 advisory.

    Red Hat CloudForms Management Engine delivers the insight, control, and automation needed to address the     challenges of managing virtual environments. CloudForms Management Engine is built on Ruby on Rails, a     model-view-controller (MVC) framework for web application development. Action Pack implements the     controller and the view components.

    Security Fix(es):

    * A code injection flaw was found in the way capacity and utilization imported control files are     processed. A remote, authenticated attacker with access to the capacity and utilization feature could use     this flaw to execute arbitrary code as the user CFME runs as. (CVE-2016-5402)

    This issue was discovered by Simon Lukasik (Red Hat).

    Additional Changes:

    This update also fixes various bugs and adds several enhancements. Notable changes include:

    Changes to the Automate component:

    * This release of CloudForms allows provisioning of a virtual machine without specifying a host but     validating a cluster. CloudForms now validates if either a host or cluster is selected when provisioning     on VMware. (BZ#1378116)

    Changes to the Providers component:

    * In the previous version of CloudForms, when attempting to open a VNC console to an instance, CloudForms     failed to connect because the instance did not exist for that tenant - it attempted to use the wrong     tenant. This update specifies the tenant when opening a VNC console which has resolved the issue.
    CloudForms is now able to connect successfully without an error. (BZ#1370207)

    Changes to the Provisioning component:

    * In the previous version of CloudForms, cloning a VMware template failed when the target datacenter was     nested below multiple folders. This was because if the datacenter was nested logically under various     folders, users were unable to find the placement ID during an autoplacement VMware provision request. This     fix always does a lookup of the folder path from the host datacenter instead of statically setting a     possible wrong default value which has resolved the issue. (BZ#1361174)

    Changes to the Replication component:

    * In the previous version of CloudForms, subscription validation failed for replication subscriptions     which were successfully saved. This was because the validation was done directly by the UI which did not     have access to passwords of currently saved subscriptions. The validation would pass when the user enters     the password when initially saving the subscription, but failed once the subscription needed to be     retrieved from the database. This update has fixed the failing validation on saved replication     subscriptions. (BZ#1378554)

    Changes to the vulnerability component:

    * A code injection flaw was found in the way capacity and utilization imported control files are     processed. A remote, authenticated attacker with access to the capacity and utilization feature could use     this flaw to execute arbitrary code as the user CFME runs as. (BZ#1357559)

    * In the previous version of CloudForms, when trying to save filters in Subnets/Routers/Security     groups/Floating IPs/Network ports exception appeared. This was caused due to missing routes for network     resources. This update adds missing routes for network resources and the issue has now been resolved.
    (BZ#1370573)

    * In the previous version of CloudForms, My Filters in datastore was unclickable and no filters were shown     under it. This update enabled My Filters in datastore and the issue is now resolved. (BZ#1379727)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
233050	RHEL 7：CFME 5.6.3 (RHSA-2016:2839)	Nessus	Red Hat Local Security Checks	3/20/2025	3/20/2025	high
233050	RHEL 7：CFME 5.6.3 (RHSA-2016:2839)	Nessus	Red Hat Local Security Checks	3/20/2025	3/20/2025	high
233050	RHEL 7 : CFME 5.6.3 (RHSA-2016:2839)	Nessus	Red Hat Local Security Checks	3/20/2025	3/20/2025	high
233050	RHEL 7 : CFME 5.6.3 (RHSA-2016:2839)	Nessus	Red Hat Local Security Checks	3/20/2025	3/20/2025	high

Detections

Analytics

Plugins Search

high

high

high

high