The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2016:0489 advisory.

    OpenShift Enterprise by Red Hat is the company's cloud computing     Platform-as-a-Service (PaaS) solution designed for on-premise or     private cloud deployments.

    The following security issue is addressed with this release:

    It was found that ActiveMQ did not safely handle user supplied data     when deserializing objects. A remote attacker could use this flaw to     execute arbitrary code with the permissions of the ActiveMQ     application. (CVE-2015-5254)

    An update for Jenkins Continuous Integration Server that addresses a     large number of security issues including XSS, CSRF, information     disclosure and code execution have been addressed as well.
    (CVE-2015-5317, CVE-2015-5318, CVE-2015-5319, CVE-2015-5320,     CVE-2015-5321, CVE-2015-5322, CVE-2015-5323, CVE-2015-5324,     CVE-2015-5325, CVE-2015-5326, CVE-2015-7537, CVE-2015-7538,     CVE-2015-7539, CVE-2015-8103)

    Space precludes documenting all of the bug fixes in this advisory. See     the OpenShift Enterprise Technical Notes, which will be updated     shortly for release 2.2.9, for details about these changes:

    https://access.redhat.com/documentation/en-US/OpenShift_Enterprise/2/html-     single/Technical_Notes/index.html

    All OpenShift Enterprise 2 users are advised to upgrade to these     updated packages.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

现已提供 Red Hat OpenShift Enterprise 2.2.9 版，修复了数个安全性问题、数个错误，并推出增强功能。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Red Hat 的 OpenShift Enterprise 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。通过此版本，已解决下述安全问题：发现 ActiveMQ 在反序列化对象时，未安全处理用户提供的数据。远程攻击者可利用该缺陷，以 ActiveMQ 应用程序权限执行任意代码。(CVE-2015-5254) Jenkins Continuous Integration Server 的更新可解决大量安全问题，包括 XSS、CSRF，信息泄露和代码执行也得到解决。(CVE-2015-5317, CVE-2015-5318, CVE-2015-5319, CVE-2015-5320, CVE-2015-5321, CVE-2015-5322, CVE-2015-5323, CVE-2015-5324, CVE-2015-5325, CVE-2015-5326, CVE-2015-7537, CVE-2015-7538, CVE-2015-7539, CVE-2015-8103) 因空间所限，无法在此公告中记录所有缺陷修复。如需有关这些变更的详细信息，请参阅 OpenShift Enterprise 技术札记，这项信息不久将在 2.2.9 版中更新：https://access.redhat.com/documentation/en-US/OpenShift_Enterprise/2/ html-single/Technical_Notes/index.html 建议所有 OpenShift Enterprise 2 用户升级到这些更新版程序包。

いくつかのセキュリティの問題といくつかのバグを修正し、拡張機能を導入したRed Hat OpenShift Enterpriseリリース2.2.9が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。このリリースでは、次のセキュリティ問題に対処します：ActiveMQは、オブジェクトを逆シリアル化するときにユーザー指定のデータを安全に処理しないことがわかりました。リモートの攻撃者がこの欠陥を悪用し、ActiveMQアプリケーションの権限で任意のコードを実行する可能性があります。（CVE-2015-5254）Jenkins Continuous Integration Serverの更新では、XSS、CSRF、情報漏えい、コードの実行を含む多数のセキュリティ問題に対応しています。（CVE-2015-5317、CVE-2015-5318、CVE-2015-5319、CVE-2015-5320、CVE-2015-5321、CVE-2015-5322、CVE-2015-5323、CVE-2015-5324、CVE -2015-5325、CVE-2015-5326、CVE-2015-7537、CVE-2015-7538、CVE-2015-7539、CVE-2015-8103）スペースの関係上、これらのバグ修正がすべてこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、『OpenShift Enterpriseテクニカルノート』を参照してください。これは、リリース2.2.9で間もなく更新されます：https://access.redhat.com/documentation/en-US/OpenShift_Enterprise/2/html-single/Technical_Notes/index.html：OpenShift Enterprise 2のすべてのユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。

現已提供 Red Hat OpenShift Enterprise 2.2.9 版，可修正數個安全性問題、數個錯誤，並推出增強功能。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat 的 OpenShift Enterprise 是該公司的雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。此版本已解決以下安全性問題：據發現，ActiveMQ 在還原序列化物件時，未安全處理使用者提供的資料。遠端攻擊者可利用此缺陷，透過 ActiveMQ 應用程式權限執行任意程式碼。(CVE-2015-5254) Jenkins Continuous Integration Server 的更新可解決大量安全性問題，包括 XSS、CSRF，資訊洩漏和程式碼執行也已經解決。(CVE-2015-5317、CVE-2015-5318、CVE-2015-5319、CVE-2015-5320、CVE-2015-5321、CVE-2015-5322、CVE-2015-5323、CVE-2015-5324、CVE-2015-5325、CVE-2015-5326、CVE-2015-7537、CVE-2015-7538、CVE-2015-7539、CVE-2015-8103) 因空間所限，無法在此公告中記錄所有錯誤修正。如需有關這些變更的詳細資訊，請參閱 OpenShift Enterprise 技術提示，這項資訊不久將在 2.2.9 版中更新：https://access.redhat.com/documentation/en-US/OpenShift_Enterprise/2/ html-single/Technical_Notes/index.html 建議所有 OpenShift Enterprise 2 使用者皆升級至這些更新版套件。

The remote web server hosts a version of Jenkins or Jenkins Enterprise that is prior to 1.638 or 1.625.2. It is, therefore, affected by a flaw in the Apache Commons Collections (ACC) library that allows the deserialization of unauthenticated Java objects. An unauthenticated, remote attacker can exploit this to execute arbitrary code on the target host.

Red Hat OpenShift Enterprise release 3.1.1 is now available with updates to packages that fix several security issues, bugs and introduce feature enhancements.

Red Hat Product Security has rated this update as having Important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

OpenShift Enterprise by Red Hat is the company's cloud computing Platform-as-a-Service (PaaS) solution designed for on-premise or private cloud deployments.

The following security issues are addressed with this release :

An authorization flaw was discovered in Kubernetes; the API server did not properly check user permissions when handling certain requests. An authenticated remote attacker could use this flaw to gain additional access to resources such as RAM and disk space. (CVE-2016-1905)

An authorization flaw was discovered in Kubernetes; the API server did not properly check user permissions when handling certain build- configuration strategies. A remote attacker could create build configurations with strategies that violate policy. Although the attacker could not launch the build themselves (launch fails when the policy is violated), if the build configuration files were later launched by other privileged services (such as automated triggers), user privileges could be bypassed allowing attacker escalation.
(CVE-2016-1906)

An update for Jenkins Continuous Integration Server that addresses a large number of security issues including XSS, CSRF, information disclosure and code execution have been addressed as well.
(CVE-2013-2186, CVE-2014-1869, CVE-2014-3661, CVE-2014-3662 CVE-2014-3663, CVE-2014-3664, CVE-2014-3666, CVE-2014-3667 CVE-2014-3680, CVE-2014-3681, CVE-2015-1806, CVE-2015-1807 CVE-2015-1808, CVE-2015-1810, CVE-2015-1812, CVE-2015-1813 CVE-2015-1814, CVE-2015-5317, CVE-2015-5318, CVE-2015-5319 CVE-2015-5320, CVE-2015-5321, CVE-2015-5322, CVE-2015-5323 CVE-2015-5324, CVE-2015-5325, CVE-2015-5326 ,CVE-2015-7537 CVE-2015-7538, CVE-2015-7539, CVE-2015-8103)

Space precludes documenting all of the bug fixes and enhancements in this advisory. See the OpenShift Enterprise 3.1 Release Notes, which will be updated shortly for release 3.1.1, for details about these changes :

https://docs.openshift.com/enterprise/3.1/release_notes/ ose_3_1_release_notes.html

All OpenShift Enterprise 3 users are advised to upgrade to these updated packages.

リモート Web サーバーは、1.638 または 1.625.2 以前のバージョンの Jenkins または Jenkins Enterprise をホストしています。そのため、認証されていない Java オブジェクトの逆シリアル化を可能にする Apache Commons Collections（ACC）ライブラリの欠陥の影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、ターゲットホスト上で任意のコードを実行する恐れがあります。

パッケージが更新され、いくつかのセキュリティの問題とバグを修正し、拡張機能を導入するRed Hat OpenShift Enterprise release 3.1.1が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。このリリースでは、次のセキュリティの問題に対応しています：Kubernetesに認証上の欠陥が見つかりました：APIサーバーが特定のリクエストを処理する際にユーザーの権限を正しくチェックしていませんでした。認証されたリモートの攻撃者がこの欠陥を悪用し、RAMやディスク容量などのリソースへの追加のアクセス権を取得する可能性があります。（CVE-2016-1905）Kubernetesに認証上の欠陥が見つかりました：APIサーバーが特定のビルド構成方法を処理する際にユーザーの権限を正しくチェックしていませんでした。リモートの攻撃者が、ポリシーに違反する手法でビルド構成を作成する可能性があります。攻撃者は自分でビルドを起動できませんが（ポリシーに違反すると起動に失敗します）、ビルド構成ファイルが後で他の権限で実行できるサービス（自動トリガーなど）によって起動されると、ユーザーの権限をバイパスして攻撃者の昇格が可能になる可能性があります。（CVE-2016-1906）Jenkins Continuous Integration Serverの更新では、XSS、CSRF、情報漏えい、コードの実行を含む多数のセキュリティ問題に対応しています。（CVE-2013-2186、CVE-2014-1869、CVE-2014-3661、CVE-2014-3662、CVE-2014-3663、CVE-2014-3664、CVE-2014-3666、CVE-2014-3667、CVE-2014-3680、CVE-2014-3681、CVE-2015-1806、CVE-2015-1807、CVE-2015-1808、CVE-2015-1810、CVE-2015-1812、CVE-2015-1813、CVE-2015-1814、CVE-2015-5317、CVE-2015-5318、CVE-2015-5319、CVE-2015-5320、CVE-2015-5321、CVE-2015-5322、CVE-2015-5323、CVE-2015-5324、CVE-2015-5325、CVE-2015-5326、CVE-2015-7537、CVE-2015-7538、CVE-2015-7539、CVE-2015-8103）スペースの関係上、すべてのバグ修正と拡張がこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、『OpenShift Enterprise 3.1リリースノート』を参照してください。これは、リリース3.1.1で間もなく更新されます：https://docs.openshift.com/enterprise/3.1/release_notes/ ose_3_1_release_notes.html：OpenShift Enterprise 3のすべてのユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。

遠端 web 伺服器主控 1.638 或 1.625.2 之前的一個 Jenkins 或 Jenkins Enterprise 版本。因此受到 Apache Commons Collections (ACC) 程式庫中一個瑕疵的影響，允許還原序列化未經驗證的 Java 物件。未驗證的遠端攻擊者可惡意利用此弱點，在目標主機上執行任意程式碼。

Red Hat OpenShift Enterprise 3.1.1 版現在隨附套件更新，可修正數個安全性問題、錯誤並推出增強功能。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat 的 OpenShift Enterprise 是該公司的雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。此版本已解決以下安全性問題：在 Kubernetes 中發現一個授權缺陷；處理特定要求時，API 伺服器未正確檢查使用者權限。經驗證的遠端攻擊者可利用此缺陷取得資源的其他存取權，例如 RAM 和磁碟空間。(CVE-2016-1905) 在 Kubernetes 中發現一個授權缺陷；處理特定組建組態策略時，API 伺服器未正確檢查使用者權限。遠端攻擊者可使用違反原則的策略，建立組建組態。雖然攻擊者無法自行啟動組建 (違反原則時啟動失敗)，但是如果之後其他具權限的服務 (例如，自動化觸發) 啟動組建組態檔，則可繞過使用者權限，進而允許使用者提升。(CVE-2016-1906) Jenkins Continuous Integration Server 的更新可解決大量安全性問題，包括 XSS、CSRF，資訊洩漏和程式碼執行也已經解決。(CVE-2013-2186、CVE-2014-1869、CVE-2014-3661、CVE-2014-3662、CVE-2014-3663、CVE-2014-3664、CVE-2014-3666、CVE-2014-3667、CVE-2014-3680、CVE-2014-3681、CVE-2015-1806、CVE-2015-1807、CVE-2015-1808、CVE-2015-1810、CVE-2015-1812、CVE-2015-1813、CVE-2015-1814、CVE-2015-5317、CVE-2015-5318、CVE-2015-5319、CVE-2015-5320、CVE-2015-5321、CVE-2015-5322、CVE-2015-5323、CVE-2015-5324、CVE-2015-5325、CVE-2015-5326、CVE-2015-7537、CVE-2015-7538、CVE-2015-7539、CVE-2015-8103) 因空間所限，無法在此公告中記錄所有錯誤修正與增強功能。如需有關這些變更的詳細資訊，請參閱 OpenShift Enterprise 3.1 版本資訊，這項資訊不久將在 3.1.1 版中更新：https://docs.openshift.com/enterprise/3.1/release_notes/ ose_3_1_release_notes.html 建議所有 OpenShift Enterprise 3 使用者皆升級至這些更新版套件。

远程 Web 服务器托管低于 1.638 或 1.625.2 的 Jenkins 或 Jenkins Enterprise 版本。因此，它受到 Apache Commons Collections (ACC) 库中允许反序列化未经认证的 Java 对象的缺陷的影响。未经认证的远程攻击者可利用此漏洞在目标主机上执行任意代码。

Red Hat OpenShift Enterprise 3.1.1 版现在连同程序包更新予以提供，可修复数个安全问题、错误并推出增强功能。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Red Hat 的 OpenShift Enterprise 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。此版本已解决下述安全问题：在 Kubernetes 中发现授权缺陷；处理特定请求时，API 服务器未正确检查用户权限。经验证的远程攻击者可利用此缺陷获得资源的其他访问权，例如 RAM 和磁盘空间。(CVE-2016-1905) 在 Kubernetes 中发现授权缺陷；处理特定生成配置策略时，API 服务器未正确检查用户权限。远程攻击者可使用违反原则的策略，创建生成配置。虽然攻击者无法自行启动生成（违反策略时启动失败），但如果之后其他具权限的服务（例如自动化触发）启动生成配置文件，则可绕过用户权限，进而允许攻击者提升权限。(CVE-2016-1906) Jenkins Continuous Integration Server 的更新可解决大量安全问题，包括 XSS、CSRF，信息泄露和代码执行也得到解决。(CVE-2013-2186, CVE-2014-1869, CVE-2014-3661, CVE-2014-3662 CVE-2014-3663, CVE-2014-3664, CVE-2014-3666, CVE-2014-3667 CVE-2014-3680, CVE-2014-3681, CVE-2015-1806, CVE-2015-1807 CVE-2015-1808, CVE-2015-1810, CVE-2015-1812, CVE-2015-1813 CVE-2015-1814, CVE-2015-5317, CVE-2015-5318, CVE-2015-5319 CVE-2015-5320, CVE-2015-5321, CVE-2015-5322, CVE-2015-5323 CVE-2015-5324, CVE-2015-5325, CVE-2015-5326 ,CVE-2015-7537 CVE-2015-7538, CVE-2015-7539, CVE-2015-8103) 因空间所限，无法在此公告中记录所有缺陷修复与增强功能。如需有关这些变更的详细信息，请参阅 OpenShift Enterprise 3.1 版本说明，这项信息不久将在 3.1.1 版中更新：https://docs.openshift.com/enterprise/3.1/release_notes/ ose_3_1_release_notes.html 建议所有 OpenShift Enterprise 3 用户升级到这些更新版程序包。

ID	Name	Product	Family	Published	Updated	Severity
119368	RHEL 6 : Red Hat OpenShift Enterprise 2.2.9 (RHSA-2016:0489)	Nessus	Red Hat Local Security Checks	12/4/2018	11/4/2024	critical
119368	RHEL 6：Red Hat OpenShift Enterprise 2.2.9 (RHSA-2016:0489)	Nessus	Red Hat Local Security Checks	12/4/2018	11/4/2024	critical
119368	RHEL 6：Red Hat OpenShift Enterprise 2.2.9（RHSA-2016:0489）	Nessus	Red Hat Local Security Checks	12/4/2018	11/4/2024	critical
119368	RHEL 6：Red Hat OpenShift Enterprise 2.2.9 (RHSA-2016:0489)	Nessus	Red Hat Local Security Checks	12/4/2018	11/4/2024	critical
86898	Jenkins < 1.638 / 1.625.2 Java Object Deserialization RCE	Nessus	General	11/17/2015	5/14/2025	high
119442	RHEL 7 : openshift (RHSA-2016:0070)	Nessus	Red Hat Local Security Checks	12/6/2018	5/14/2023	critical
86898	Jenkins < 1.638/1.625.2 Java オブジェクト逆シリアル化 RCE	Nessus	General	11/17/2015	5/14/2025	high
119442	RHEL 7：openshift（RHSA-2016:0070）	Nessus	Red Hat Local Security Checks	12/6/2018	5/14/2023	critical
86898	Jenkins < 1.638 / 1.625.2 Java 物件還原序列化 RCE	Nessus	General	11/17/2015	5/14/2025	high
119442	RHEL 7：openshift (RHSA-2016:0070)	Nessus	Red Hat Local Security Checks	12/6/2018	5/14/2023	critical
86898	Jenkins < 1.638 / 1.625.2 Java 对象反序列化 RCE	Nessus	General	11/17/2015	5/14/2025	high
119442	RHEL 7 : openshift (RHSA-2016:0070)	Nessus	Red Hat Local Security Checks	12/6/2018	5/14/2023	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

high

critical

high

critical

high

critical

high

critical