This Identity Management Application is a centralized authentication, identity management and authorization solution for both traditional and cloud based enterprise environments. It integrates components of the Upstream Directory Server, MIT Kerberos, the Upstream Certificate System, NTP, and DNS. It provides web browser and command-line interfaces. Its administration tools allow an administrator to quickly install, set up, and administer a group of domain controllers to meet the authentication and identity management requirements of large scale Linux and UNIX deployments.

A Cross-Site Request Forgery (CSRF) flaw was found in this package. If a remote attacker could trick a user, who was logged into the management web interface, into visiting a specially crafted URL, the attacker could perform configuration changes with the privileges of the logged in user. (CVE-2011-3636)

Due to the changes required to fix CVE-2011-3636, client tools will need to be updated for client systems to communicate with updated servers. New client systems will need to have the updated ipa-client package installed to be enrolled. Already enrolled client systems will need to have the updated certmonger package installed to be able to renew their system certificate. Note that system certificates are valid for two years by default.

This update includes several bug fixes. Space precludes documenting all of these changes in this advisory.

Users of this software should upgrade to these updated packages, which correct these issues.

A number of additional packages were added to the security repository so that this package could be installed on older SL systems.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2011:1533 advisory.

    Red Hat Identity Management is a centralized authentication, identity     management and authorization solution for both traditional and cloud based     enterprise environments. It integrates components of the Red Hat Directory     Server, MIT Kerberos, Red Hat Certificate System, NTP and DNS. It provides     web browser and command-line interfaces. Its administration tools allow an     administrator to quickly install, set up, and administer a group of domain     controllers to meet the authentication and identity management requirements     of large scale Linux and UNIX deployments.

    A Cross-Site Request Forgery (CSRF) flaw was found in Red Hat Identity     Management. If a remote attacker could trick a user, who was logged into     the management web interface, into visiting a specially-crafted URL, the     attacker could perform Red Hat Identity Management configuration changes     with the privileges of the logged in user. (CVE-2011-3636)

    Due to the changes required to fix CVE-2011-3636, client tools will need to     be updated for client systems to communicate with updated Red Hat Identity     Management servers. New client systems will need to have the updated     ipa-client package installed to be enrolled. Already enrolled client     systems will need to have the updated certmonger package installed to be     able to renew their system certificate. Note that system certificates are     valid for two years by default.

    Updated ipa-client and certmonger packages for Red Hat Enterprise Linux 6     were released as part of Red Hat Enterprise Linux 6.2. Future updates will     provide updated packages for Red Hat Enterprise Linux 5.

    This update includes several bug fixes. Space precludes documenting all of     these changes in this advisory. Users are directed to the Red Hat     Enterprise Linux 6.2 Technical Notes for information on the most     significant of these changes, linked to in the References section.

    Users of Red Hat Identity Management should upgrade to these updated     packages, which correct these issues.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

この Identity Management Application は、従来型の環境とクラウドベースのエンタープライズ環境の両方に対する、一元化された認証、ID 管理、および承認のソリューションです。これは、Upstream Directory Server、MIT Kerberos、Upstream Certificate System、NTP、および DNS のコンポーネントが統合されたものです。Web ブラウザおよびコマンドラインインターフェイスが提供されます。管理ツールによって、管理者は迅速にインストールと設定を行い、ドメインコントローラーのグループを管理して大規模な Linux および UNIX 配備の認証や ID 管理の要件を満たすことができます。

このパッケージに、クロスサイトリクエスト偽造（CSRF）の欠陥が見つかりました。リモートの攻撃者が、管理 Web インターフェイスにログインしているユーザーを騙して、特別に細工された URL にアクセスさせることができた場合、ログインしているユーザーの権限で構成変更を行う可能性があります。（CVE-2011-3636）

CVE-2011-3636 の修正に必要な変更により、クライアントシステムが更新済みサーバーと通信を行うためには、クライアントツールを更新する必要があります。新しいクライアントシステムでは、更新済みの ipa-client パッケージがインストールされ、登録されている必要があります。既に登録済みであるクライアントシステムでは、更新済みの certmonger パッケージをインストールし、システムの証明書を更新できるようにする必要があります。システムの証明書は、デフォルトで 2 年有効である必要があります。

この更新には、いくつかのバグの修正が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。

このソフトウェアのユーザーは、これらの問題を修正する、これらの更新済みパッケージにアップグレードする必要があります。

このパッケージを古い SL システムにインストールできるように、セキュリティリポジトリに多数のパッケージが追加されました。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2011:1533 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Identity Management は、従来型およびクラウドベースの両方のエンタープライズ環境のために一元化された認証、ID 管理、および承認の機能を提供するソリューションです。これは、Red Hat Directory Server、MIT Kerberos、Red Hat Certificate System、NTP、DNS のコンポートネントを統合します。Web ブラウザおよびコマンドラインインターフェースが提供されます。管理ツールによって、管理者は迅速にインストールと設定を行い、ドメインコントローラーのグループを管理して大規模な Linux および UNIX 配備の認証や ID 管理の要件を満たすことができます。

    Red Hat Identity Management に、クロスサイトリクエスト偽造（CSRF）の欠陥が見つかりました。リモートの攻撃者は、管理 Web インターフェースにログインしているユーザーを騙して、特別に細工された URL を閲覧させることができる場合、ログインしているユーザーの権限で、Red Hat Identity Management の構成変更を行う可能性があります。(CVE-2011-3636)

    CVE-2011-3636 を修正するのに必要な変更により、クライアントのシステムが更新済みの Red Hat Identity Management サーバーとやりとりするには、クライアントツールを更新する必要があります。新しいクライアントシステムでは、更新済みの ipa-client パッケージがインストールされ、登録されている必要があります。既に登録済みであるクライアントシステムでは、更新済みの certmonger パッケージをインストールし、システムの証明書を更新できるようにする必要があります。システムの証明書は、デフォルトで 2 年有効である必要があります。

    Red Hat Enterprise Linux 6 用の更新済みの ipa-client および certmonger パッケージが、Red Hat Enterprise Linux 6.2 の一部としてリリースされました。今後の更新では、Red Hat Enterprise Linux 5 用の更新済みパッケージを提供します。

    この更新には、いくつかのバグの修正が含まれています。スペースの関係上、このアドバイザリにこれらの変更がすべて記載されているわけではありません。当該変更の最も重要な情報については、「参照」セクションにリンクがある Red Hat Enterprise Linux 6.2 テクニカルノートを参照してください。

    Red Hat Identity Management のユーザーはこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 6 ホストに、ELSA-2011-1533 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 2.1.4 以前の FreeIPA の管理インターフェースでのクロスサイトリクエスト偽造 (CSRF) 脆弱性により、リモートの攻撃者は、設定変更を行うリクエストに対する管理者の認証をハイジャックできます。(CVE-2011-3636)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote Oracle Linux 6 host has packages installed that are affected by a vulnerability as referenced in the ELSA-2011-1533 advisory.

    - Updated patch for CVE-2011-3636 to include CR in the HTTP headers.
      xmlrpc-c in RHEL-6 doesn't suppose the dont_advertise option so that is       not set any more. Another fake header, X-Original-User_Agent, is added       so there is no more trailing junk after the Referer header.  (#749870)
    - Require an HTTP Referer header to address CSRF attackes. CVE-2011-3636.
      (#749870)

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

此身份管理应用程序是一种集中式的认证、身份管理和授权解决方案，同时适用传统企业环境和基于云的企业环境。它集成了 Upstream Directory Server、MIT Kerberos、Upstream Certificate System、NTP 和 DNS 的组件。它提供 Web 浏览器和命令行接口。其管理工具可让管理员快速安装、设置和管理一组域控制器，以满足大规模 Linux 及 UNIX 部署的认证和身份管理要求。

在此程序包中发现一个跨站请求伪造 (CSRF) 缺陷。如果远程攻击者可以诱骗登录到管理 Web 界面的用户，使其访问特别构建的 URL，攻击者就能够以登录用户的权限来执行配置更改。(CVE-2011-3636)

由于修复 CVE-2011-3636 所需的更改，需要更新客户端工具，客户端系统才能与更新后的服务器通信。新的客户端系统将需要安装更新后的 ipa-client 程序包才能注册。已注册的客户端系统将需要安装更新后的 certmonger 程序包才能续订其系统证书。请注意，系统证书的默认有效期为两年。

此更新包含多个缺陷补丁。空间有限，无法在此公告中记载所有这些更改。

此软件的用户应升级这些更新后的程序包，其中修正了这些问题。

安全存储库新增了许多其他程序包，因此该程序包可安装于较早的 SL 系统。

远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2011-1533 公告中提及的漏洞的影响。

  - 远程攻击者可通过低于 2.1.4 的 FreeIPA 管理界面中的跨站请求伪造 (CSRF) 漏洞劫持管理员认证，从而发起更改设置的请求。(CVE-2011-3636)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Oracle Linux 6 主機上安裝的套件受到 ELSA-2011-1533 公告中提及的弱點影響。

  - 2.1.4 版之前的 FreeIPA 的管理介面中有跨網站要求偽造 (CSRF) 弱點，會允許遠端攻擊者劫持此類組態變更要求所需的系統管理員驗證。(CVE-2011-3636)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

此 Identity Management Application 是一種同時適用於傳統和雲端型企業環境的集中式驗證、身分管理和授權解決方案。其整合了 Upstream Directory Server、MIT Kerberos、Upstream Certificate System、NTP 和 DNS 的元件。它提供網頁瀏覽器和命令行介面。其管理工具允許系統管理員快速安裝、設定及管理一組網域控制器，以達到大規模 Linux 與 UNIX 部署之驗證和身分識別管理要求。

在此套件中發現一個跨網站要求偽造 (CSRF) 瑕疵。如果遠端攻擊者可誘騙已登入管理 Web 介面的使用者造訪特製的 URL，便能以該登入使用者的權限執行組態變更。(CVE-2011-3636)

由於修正 CVE-2011-3636 所需的變更，將需要更新用戶端工具，以便讓用戶端系統與更新的伺服器通訊。新的用戶端系統必須註冊已安裝的更新版 ipa-client 套件。已註冊的用戶端系統必須安裝更新版 certmonger 套件，才能更新其系統憑證。請注意，系統憑證的有效期限預設為兩年。

這項更新包括數個錯誤修正。因空間所限，無法在此公告中記錄所有這些變更。

此軟體的使用者應升級至這些更新版套件，其可更正這些問題。

已將數個其他套件新增至安全性存放庫，因此可在舊版 SL 系統上安裝此套件。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2011:1533 公告中提及的漏洞影响。

    Red Hat 身份管理是一种集中式的认证、身份管理和授权解决方案，同时适用于传统企业环境和基于云的企业环境。它集成了 Red Hat Directory Server、MIT Kerberos、Red Hat Certificate System、NTP 和 DNS 的组件。它提供 Web 浏览器和命令行接口。其管理工具可让管理员快速安装、设置和管理一组域控制器，以满足大规模 Linux 及 UNIX 部署的认证和身份管理要求。

    在 Red Hat Identity Management 中发现一个跨站请求伪造 (CSRF) 缺陷。如果远程攻击者可诱骗登录到管理 Web 界面的用户访问特别构建的 URL，便能以该登录用户的权限执行 Red Hat Identity Management 配置变更。(CVE-2011-3636)

    由于修复 CVE-2011-3636 所需的更改，需要更新客户端工具，以便让客户端系统与更新后的 Red Hat Identity Management 服务器通信。新的客户端系统将需要安装更新后的 ipa-client 程序包才能注册。已注册的客户端系统将需要安装更新后的 certmonger 程序包才能续订其系统证书。请注意，系统证书的默认有效期为两年。

    Red Hat Enterprise Linux 6 更新后的 ipa-client 和 certmonger 程序包已作为 Red Hat Enterprise Linux 6.2 的一部分发布。未来更新将提供 Red Hat Enterprise Linux 5 更新后的程序包。

    此更新包含多个缺陷补丁。空间有限，无法在此公告中记载所有这些更改。有关这些最重要的变更的信息，用户可参阅“参考”部分中链接的 Red Hat Enterprise Linux 6.2 技术札记。

    Red Hat Identity Management 用户应升级至这些更新后的程序包，其中修正了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2011:1533 公告中提及的弱點影響。

    Red Hat Identity Management 是一種適用於傳統和雲端型企業環境的集中驗證、身分管理和授權解決方案。其整合了 Red Hat Directory Server、MIT Kerberos、Red Hat Certificate System、NTP 和 DNS 的元件。它提供網頁瀏覽器和命令列介面。其管理工具允許系統管理員快速安裝、設定及管理一組網域控制器，以達到大規模 Linux 與 UNIX 部署之驗證和身分識別管理要求。

    在 Red Hat Identity Management 中發現一個跨網站要求偽造 (CSRF) 瑕疵。如果遠端攻擊者可誘騙已登入管理 Web 介面的使用者造訪特製的 URL，便能以該登入使用者的權限執行 Red Hat Identity Management 組態變更。(CVE-2011-3636)

    由於修正 CVE-2011-3636 所需的變更，將需要更新用戶端工具，以便讓用戶端系統與已更新的 Red Hat Identity Management 伺服器通訊。新的用戶端系統必須註冊已安裝的更新版 ipa-client 套件。已註冊的用戶端系統必須安裝更新版 certmonger 套件，才能更新其系統憑證。請注意，系統憑證的有效期限預設為兩年。

    Red Hat Enterprise Linux 6 的更新版 ipa-client 與 certmonger 套件已發佈為 Red Hat Enterprise Linux 6.2 的一部分。未來更新將提供適用於 Red Hat Enterprise Linux 5 的更新版套件。

    這項更新包括數個錯誤修正。因空間所限，無法在此公告中記錄所有這些變更。系統會將使用者導向至 Red Hat Enterprise Linux 6.2 技術提示以取得其中連結至＜參照＞一節之最重要變更的資訊。

    Red Hat Identity Management 的使用者應升級至這些更新版套件，其可更正這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
61188	Scientific Linux Security Update : ipa on SL6.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
57014	RHEL 6 : ipa (RHSA-2011:1533)	Nessus	Red Hat Local Security Checks	12/6/2011	3/20/2025	high
61188	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の ipa	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
57014	RHEL 6 : ipa (RHSA-2011:1533)	Nessus	Red Hat Local Security Checks	12/6/2011	3/20/2025	high
181122	Oracle Linux 6 : ipa (ELSA-2011-1533)	Nessus	Oracle Linux Local Security Checks	9/7/2023	10/22/2024	high
181122	Oracle Linux 6 : ipa (ELSA-2011-1533)	Nessus	Oracle Linux Local Security Checks	9/7/2023	10/22/2024	high
61188	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 ipa	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
181122	Oracle Linux 6：ipa (ELSA-2011-1533)	Nessus	Oracle Linux Local Security Checks	9/7/2023	10/22/2024	high
181122	Oracle Linux 6：ipa (ELSA-2011-1533)	Nessus	Oracle Linux Local Security Checks	9/7/2023	10/22/2024	high
61188	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 ipa	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
57014	RHEL 6：ipa (RHSA-2011:1533)	Nessus	Red Hat Local Security Checks	12/6/2011	3/20/2025	high
57014	RHEL 6 : ipa (RHSA-2011:1533)	Nessus	Red Hat Local Security Checks	12/6/2011	3/20/2025	high

Detections

Analytics

Plugins Search

medium

high

medium

high

high

high

medium

high

high

medium

high

high