There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The Python client in Apache Qpid before 2.2 does not verify that the server hostname matches a domain name
    in the subject's Common Name (CN) or subjectAltName field of the X.509 certificate, which allows man-in-
    the-middle attackers to spoof SSL servers via an arbitrary valid certificate. (CVE-2013-1909)

現已提供適用於 Red Hat Enterprise Linux 6 之 Red Hat Enterprise MRG 2.3 的更新版 Messaging 元件套件，可修正一個安全性問題和多個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise MRG (Messaging、Realtime 與 Grid) 是企業計算方面的新一代 IT 基礎結構。MRG 為企業客戶提供增進的效能、可靠性、互通性與更快的計算能力。

MRG Messaging 是針對 Linux 以 AMQP (進階訊息佇列通訊協定) 為基礎所發佈的高速可靠傳訊，這是企業傳訊的開放式通訊協定標準，可將任務重要的傳訊能力廣泛推廣為標準服務，並使企業傳訊能夠跨平台、程式設計語言及供應商互通。MRG Messaging 包含 AMQP 0-10 傳訊 Broker；適用於 C++、Java JMS 與 Python 的 AMQP 0-10 用戶端程式庫；另外還有持續性程式庫與管理工具。

據發現，即使指定了 ‘ssl_trustfile’ 連線選項，AMQP 的 Qpid Python 用戶端程式庫仍未正確執行遠端伺服器憑證的 TLS/SSL 憑證驗證。惡意伺服器可利用此瑕疵進行攔截式攻擊，這可能導致洩漏敏感資訊。(CVE-2013-1909)

透過此更新，Python 程式可指示程式庫指定含有受信任 CA 憑證的檔案之路徑，藉此驗證伺服器憑證。

此問題是由 Red Hat MRG Messaging 團隊的 Petr Matousek 所發現

此更新還可修正多個錯誤。這些變更的相關文件近期將可從＜參照＞一節中的「技術提示」文件連結中取得。

建議 Red Hat Enterprise MRG 2.3 之 Messaging 功能的所有使用者皆升級至這些更新版套件，其可解決 Red Hat Enterprise MRG 2 技術提示中提到的問題。安裝更新版套件之後，透過對所有節點執行「service qpidd stop」，或對任何一個叢集節點執行「qpid-cluster --all-stop」，可停止叢集。停止之後，對所有節點以「service qpidd start」重新啟動叢集，更新才會生效。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 2.2 版之前的 Apache Qpid 中，Python 用戶端未驗證伺服器主機名稱是否與主體之共用名稱 (CN) 中的網域名稱或 X.509 憑證的 subjectAltName 欄位相符，進而允許攔截式攻擊者透過任意有效憑證偽造 SSL 伺服器。 (CVE-2013-1909)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 2.2 之前的 Apache Qpid 中的 Python 客户端不会验证服务器主机名是否与 X.509 证书中主题公用名 (CN) 或 subjectAltName 字段中的域名匹配，从而允许中间人攻击者通过任意有效证书欺骗 SSL 服务器。 (CVE-2013-1909)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

更新后的 Messaging 组件程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 6 的 Red Hat Enterprise MRG 2.3。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise MRG（Messaging、Realtime 和 Grid）是用于企业计算的下一代 IT 基础架构。MRG 为企业客户提供更高的性能、可靠性和互操作性以及更快的计算速度。

MRG Messaging 是基于 AMQP（高级消息队列协议）的针对 Linux 的高速可靠消息分发工具，该工具是一个为企业消息传送设计的开放协议标准，可使关键任务消息传送作为标准服务进行广泛使用，并实现企业消息传送在各类平台、编程语言和供应商之间的互操作性。MRG Messaging 包括一个 AMQP 0-10 消息代理；用于 C++、Java JMS 和 Python 的 AMQP 0-10 客户端库；以及暂留库和管理工具。

已发现 AMQP 的 Qpid Python 客户端库未正确地对远程服务器的证书执行 TLS/SSL 证书验证，即使指定了“ssl_trustfile”连接选项时亦是如此。流氓服务器可利用此缺陷执行中间人攻击，可能导致泄露敏感信息。(CVE-2013-1909)

此更新通过指定指向包含受信任 CA 证书的文件的路径，Python 程序可指示库验证服务器证书。

此问题由 Red Hat MRG Messaging 团队的 Petr Matousek 发现。

此更新还修复多种缺陷。“参考”部分链接的技术札记文档中近期将提供这些更改的文档。

建议 Red Hat Enterprise MRG 2.3 Messaging 功能的所有用户升级到这些更新后的程序包，其中解决了 Red Hat Enterprise MRG 2 技术札记中说明的问题。安装更新后的程序包后，请通过在所有节点上运行“service qpidd stop”或在任一群集节点上运行“qpid-cluster --all-stop”停止群集。停止后，在所有节点上使用“service qpidd start”重新启动群集才能使更新生效。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.2 以前の Apache Qpid の Python クライアントは、サーバーのホスト名が、サブジェクトの Common Name（CN）または X.509 証明書の subjectAltName フィールドのドメイン名と一致することを検証しません。任意の有効な証明書を介した SSL サーバーのなりすまし。 （CVE-2013-1909）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

1 つのセキュリティ問題と複数のバグを修正する更新済みの Messaging コンポーネントパッケージが、Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG 2.3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

MRG Messaging は、AMQP（Advanced Message Queuing Protocol）に基づいた Linux 用の高速かつ信頼できるメッセージングディストリビューションです。このプロトコルは、標準デバイスとして利用できるミッションクリティカルなメッセージングを幅広く行えるようにし、プラットフォーム、プログラミング言語、ベンダーにおいて相互運用可能なエンタープライズメッセージングを実現するためのオープンプロトコル規格です。MRG Messaging には、AMQP 0-10 メッセージングブローカー、C++ 用 AMQP 0-10 クライアントライブラリ、 Java JMS、Python、ならびに永続化ライブラリおよび管理ツールが含まれています。

AMQP の Qpid Python クライアントライブラリが、「ssl_trustfile」接続オプションが指定された場合であっても、リモートサーバーの証明書の TLS/SSL 証明書検証を適切に実行しないことが判明しました。不正なサーバーはこの欠陥を利用して中間者攻撃を実行し、機密情報の漏洩につながる可能性があります。（CVE-2013-1909）

この更新により、信頼できる CA 証明書が含まれるファイルへのパスを指定することで、Python プログラムはライブラリにサーバー証明書を検証するように指示できます。

この問題は、Red Hat MRG Messaging チームの Petr Matousek 氏により発見されました。

この更新では、複数のバグも修正されています。これらの変更に関するドキュメントは、「参照」セクションでリンクされているテクニカルノートドキュメントから、間もなく入手できるようになります。

Red Hat Enterprise MRG 2.3 の Messaging 機能の全ユーザーは、これらの更新済みのパッケージへアップグレードし、Red Hat Enterprise MRG 2 テクニカルノートで言及されているこの問題を解決することが推奨されます。更新済みのパッケージをインストールした後、すべてのノード上で「service qpidd stop」を実行するか、クラスターノードの 1 つで「qpid-cluster --all-stop」を実行してクラスターを停止させます。更新を有効にするには、停止後に、すべてのノード上で「service qpidd start」を実行してクラスターを再起動させます。

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2013:1024 advisory.

    Red Hat Enterprise MRG (Messaging, Realtime, and Grid) is a next-generation     IT infrastructure for enterprise computing. MRG offers increased     performance, reliability, interoperability, and faster computing for     enterprise customers.

    MRG Messaging is a high-speed reliable messaging distribution for Linux     based on AMQP (Advanced Message Queuing Protocol), an open protocol     standard for enterprise messaging that is designed to make mission critical     messaging widely available as a standard service, and to make enterprise     messaging interoperable across platforms, programming languages, and     vendors. MRG Messaging includes an AMQP 0-10 messaging broker; AMQP 0-10     client libraries for C++, Java JMS, and Python; as well as persistence     libraries and management tools.

    It was discovered that the Qpid Python client library for AMQP did not     properly perform TLS/SSL certificate validation of the remote server's     certificate, even when the 'ssl_trustfile' connection option was specified.
    A rogue server could use this flaw to conduct man-in-the-middle attacks,     possibly leading to the disclosure of sensitive information.
    (CVE-2013-1909)

    With this update, Python programs can instruct the library to validate     server certificates by specifying a path to a file containing trusted CA     certificates.

    This issue was discovered by Petr Matousek of the Red Hat MRG Messaging     team.

    This update also fixes multiple bugs. Documentation for these changes will     be available shortly from the Technical Notes document linked to in the     References section.

    All users of the Messaging capabilities of Red Hat Enterprise MRG 2.3 are     advised to upgrade to these updated packages, which resolve the issues     noted in the Red Hat Enterprise MRG 2 Technical Notes. After installing the     updated packages, stop the cluster by either running service qpidd stop     on all nodes, or qpid-cluster --all-stop on any one of the cluster nodes.
    Once stopped, restart the cluster with service qpidd start on all nodes     for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The Python client in Apache Qpid before 2.2 does not verify that the server hostname matches a domain name     in the subject's Common Name (CN) or subjectAltName field of the X.509 certificate, which allows man-in-     the-middle attackers to spoof SSL servers via an arbitrary valid certificate. (CVE-2013-1909)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
433961	SCA: security update for qpid-python (GHSA-3g2p-7c6p-vj8c)	Tenable Self-Hosted Container Security	SCA Checks	8/19/2025	7/2/2026	high
433961	SCA: security update for qpid-python (GHSA-3g2p-7c6p-vj8c)	Tenable Cloud Security	SCA Checks	8/19/2025	7/2/2026	high
76661	RHEL 6：MRG (RHSA-2013:1024)	Nessus	Red Hat Local Security Checks	7/22/2014	4/15/2025	high
218054	Linux Distros 未修補弱點：CVE-2013-1909	Nessus	Misc.	3/4/2025	9/14/2025	critical
218054	Linux Distros 未修补的漏洞: CVE-2013-1909	Nessus	Misc.	3/4/2025	9/14/2025	critical
76661	RHEL 6：MRG (RHSA-2013:1024)	Nessus	Red Hat Local Security Checks	7/22/2014	4/15/2025	high
218054	Linux Distros のパッチ未適用の脆弱性: CVE-2013-1909	Nessus	Misc.	3/4/2025	9/14/2025	critical
76661	RHEL 6：MRG（RHSA-2013:1024）	Nessus	Red Hat Local Security Checks	7/22/2014	4/15/2025	high
76661	RHEL 6 : Red Hat Enterprise MRG Messaging 2.3.3 (RHSA-2013:1024)	Nessus	Red Hat Local Security Checks	7/22/2014	4/15/2025	high
218054	Linux Distros Unpatched Vulnerability : CVE-2013-1909	Nessus	Misc.	3/4/2025	9/14/2025	critical

Detections

Analytics

Plugins Search

high

high

high

critical

critical

high

critical

high

high

critical