Red Hat Ceph Storage 1.3.3 that fixes one security issue, multiple bugs, and adds various enhancements is now available for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat Ceph Storage is a scalable, open, software-defined storage platform that combines the most stable version of the Ceph storage system with a Ceph management platform, deployment utilities, and support services.

Security Fix(es) :

* A flaw was found in Ceph RGW code which allows an anonymous user to list contents of RGW bucket by bypassing ACL which should only allow authenticated users to list contents of bucket. (CVE-2016-7031)

For detailed information on changes in this release, see the Red Hat Ceph Storage 1.3.3 Release Notes linked from the References section.

The remote Ubuntu 14.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-3452-1 advisory.

    It was discovered that Ceph incorrectly handled the handle_command function. A remote authenticated user     could use this issue to cause Ceph to crash, resulting in a denial of service. (CVE-2016-5009)

    Rahul Aggarwal discovered that Ceph incorrectly handled the authenticated-read ACL. A remote attacker     could possibly use this issue to list bucket contents via a URL. (CVE-2016-7031)

    Diluga Salome discovered that Ceph incorrectly handled certain POST objects with null conditions. A remote     attacker could possibly use this issue to cuase Ceph to crash, resulting in a denial of service.
    (CVE-2016-8626)

    Yang Liu discovered that Ceph incorrectly handled invalid HTTP Origin headers. A remote attacker could     possibly use this issue to cuase Ceph to crash, resulting in a denial of service. (CVE-2016-9579)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

1つのセキュリティ問題と複数のバグを修正し、さまざまな拡張機能を追加するRed Hat Ceph Storage 1.3.3が、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Ceph Storageは、スケーラブルかつオープンなソフトウェア定義型ストレージプラットフォームです。Cephストレージシステムの最も安定したバージョンに、Ceph管理プラットフォーム、展開ユーティリティ、およびサポートサービスを搭載しています。セキュリティ上の修正：*認証されたユーザーにのみバケットの内容の一覧表示を許可するACLをバイパスすることにより、匿名ユーザーがRGWバケットの内容を一覧表示する可能性のある欠陥がCeph RGWコードに見つかりました。（CVE-2016-7031）このリリースの変更に関する詳細については、「参照」セクションからリンクされている『Red Hat Ceph Storage 1.3.3リリースノート』を参照してください。

Cephがhandle_command関数を不適切に処理していることが分かりました。認証されたリモートユーザーがこの問題を悪用して、Ceph をクラッシュさせ、サービス拒否を引き起こす可能性があります。(CVE-2016-5009)

Rahul Aggarwal氏は、Cephがauthenticated-read ACLを不適切に処理していることを発見しました。リモートの攻撃者がこの問題を利用して、URL を介してバケットコンテンツを一覧表示する可能性があります。(CVE-2016-7031)

Diluga Salome氏は、Cephがnull条件のある特定のPOSTオブジェクトを不適切に処理していることを発見しました。リモートの攻撃者がこの問題を利用して、Cephをクラッシュさせ、サービス拒否を引き起こす可能性があります。
(CVE-2016-8626)

Yang Liu氏は、Cephが無効なHTTP Originヘッダーを不適切に処理していることを発見しました。リモートの攻撃者がこの問題を利用して、Ceph をクラッシュさせ、サービス拒否を引き起こす可能性があります。(CVE-2016-9579)。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

現已提供適用於 Red Hat Enterprise Linux 7 的 Red Hat Ceph Storage 1.3.3，其修正了一個安全性問題、多個錯誤並新增數個增強功能。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat Ceph Storage 是一個可擴充、開放式、軟體定義的儲存平台，結合了最穩定的 Ceph 儲存系統版本，並搭配 Ceph 管理平台、部署公用程式以及支援服務。安全性修正：* 在 Ceph RGW 程式碼中發現缺陷，可允許匿名使用者藉由繞過 ACL 列出 RGW 值區的內容，原本只應允許經驗證的使用者列出值區內容。(CVE-2016-7031) 如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Ceph Storage 1.3.3 版本資訊。

Red Hat Ceph Storage 1.3.3 修复一个安全问题和多个缺陷以及添加多项增强功能，现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Ceph Storage 是一种可扩展的开放式软件定义存储平台，将最稳定的 Ceph 存储系统版本与 Ceph 管理平台、部署实用工具以及支持服务相结合。安全修复：* 在 Ceph RGW 代码中发现了缺陷，此缺陷允许匿名用户通过绕过 ACL 列举 RGW 存储桶内容，此 ACL 仅允许经身份验证的用户列举存储桶内容。(CVE-2016-7031) 如需有关此版本的详细变更信息，请参阅“参考”部分链接的 Red Hat Ceph Storage 1.3.3 版本说明。

发现 Ceph 未能正确处理 handle_command 函数。经认证的远程用户可利用此问题，造成 Ceph 崩溃，进而导致拒绝服务。(CVE-2016-5009)

Rahul Aggarwal 发现 Ceph 未正确处理经过身份验证的读取 ACL。远程攻击者可能利用此问题通过 URL 列出存储桶内容。(CVE-2016-7031)

Diluga Salome 发现 Ceph 未正确处理某些带有 null 条件的 POST 对象。远程攻击者可能利用此问题造成 Ceph 崩溃，从而导致拒绝服务。
(CVE-2016-8626)

Yang Liu 发现 Ceph 未正确处理无效的 HTTP Origin 标头。远程攻击者可能利用此问题造成 Ceph 崩溃，从而导致拒绝服务。(CVE-2016-9579)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

據發現，Ceph 未正確處理 handle_command 函式。經驗證的遠端使用者可利用此問題造成 Ceph 損毀，進而導致拒絕服務。(CVE-2016-5009)

Rahul Aggarwal 發現 Ceph 未正確處理 authenticated-read ACL。遠端攻擊者可能會利用此問題，透過 URL 列出值區內容。(CVE-2016-7031)

Diluga Salome 發現 Ceph 未正確處理某些具有 null 條件的 POST 物件。遠端攻擊者可能會利用此問題造成 Ceph 損毀，進而導致拒絕服務。
(CVE-2016-8626)

Yang Liu 發現 Ceph 未正確處理無效的 HTTP Origin 標頭。遠端攻擊者可能會利用此問題造成 Ceph 損毀，進而導致拒絕服務。(CVE-2016-9579)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	Name	Product	Family	Published	Updated	Severity
112173	RHEL 7 : Red Hat Ceph Storage 1.3.3 (RHSA-2016:1972)	Nessus	Red Hat Local Security Checks	8/29/2018	8/13/2024	high
103815	Ubuntu 14.04 LTS : Ceph vulnerabilities (USN-3452-1)	Nessus	Ubuntu Local Security Checks	10/12/2017	8/27/2024	high
112173	RHEL 7：Red Hat Ceph Storage 1.3.3（RHSA-2016:1972）	Nessus	Red Hat Local Security Checks	8/29/2018	8/13/2024	high
103815	Ubuntu 14.04 LTS: Ceph の脆弱性 (USN-3452-1)	Nessus	Ubuntu Local Security Checks	10/12/2017	8/27/2024	high
112173	RHEL 7：Red Hat Ceph Storage 1.3.3 (RHSA-2016:1972)	Nessus	Red Hat Local Security Checks	8/29/2018	8/13/2024	high
112173	RHEL 7：Red Hat Ceph Storage 1.3.3 (RHSA-2016:1972)	Nessus	Red Hat Local Security Checks	8/29/2018	8/13/2024	high
103815	Ubuntu 14.04 LTS：Ceph 漏洞 (USN-3452-1)	Nessus	Ubuntu Local Security Checks	10/12/2017	8/27/2024	high
103815	Ubuntu 14.04 LTS：Ceph 弱點 (USN-3452-1)	Nessus	Ubuntu Local Security Checks	10/12/2017	8/27/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high