远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020:3247 公告中提及的多个漏洞的影响。

    ovirt-engine 程序包提供 Red Hat Virtualization Manager，后者是允许系统管理员查看和管理虚拟机的集中式管理平台。Manager 可提供全面的功能，包括搜索功能、资源管理、实时迁移和虚拟基础架构设置。

    Manager 是 JBoss Application Server 应用程序，该应用程序提供了多个界面，可通过这些界面访问虚拟环境并与之交互，其中包括管理门户、VM 门户以及表述性状态转移 (REST) 应用程序编程接口 (API)。

    下列技术札记手册中提供本更新所修复的错误列表：

    https://access.redhat.com/documentation/en-us/red_hat_virtualization/4.4/html-single/technical_notes

    安全修复：

    * apache-commons-beanutils：未在默认情况下禁用 PropertyUtilsBean 中的类属性 (CVE-2019-10086)

    * libquartz：通过作业描述进行 XXE 攻击 (CVE-2019-13990)

    * novnc：通过传播到状态字段的消息的 XSS 漏洞 (CVE-2017-18635)

    * bootstrap：工具提示或弹出框 data-template 属性的 XSS (CVE-2019-8331)

    * nimbus-jose-jwt：解析 JWT 时未捕获到的异常 (CVE-2019-17195)

    * ovirt-engine：response_type 参数允许反射型 XSS (CVE-2019-19336)

    * nodejs-minimist：存在原型污染，可能造成使用构造函数或 __proto__ 负载添加或修改 Object.prototype 的属性 (CVE-2020-7598)

    * ovirt-engine：重定向至任意 URL 导致网络钓鱼攻击（CVE-2020-10775）

    * 存在跨站脚本，这是 injQuery.htmlPrefilter 方法不当所致 (CVE-2020-11022)

    * jQuery：将包含 <option> 元素的 HTML 传递至操纵方法可导致执行不受信任的代码 (CVE-2020-11023)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020:3247 公告中提及的多個弱點影響。

    ovirt-engine 套件提供的 Red Hat Virtualization Manager 是一種集中式管理平台，可讓系統管理員檢視和管理虛擬機器。Manager 提供完整的功能，包括：搜尋功能、資源管理、即時移轉，以及虛擬基礎結構佈建等等。

    這個 Manager 是一種 JBoss Application Server 應用程式，提供多種介面，可讓使用者透過這些介面存取虛擬環境並與之互動，包括：管理入口網站、VM 入口網站，以及具象狀態傳輸 (REST) 應用程式開發介面 (API)。

    下列「技術提示」手冊中提供本更新所修正的錯誤清單：

    https://access.redhat.com/documentation/en-us/red_hat_virtualization/4.4/html-single/technical_notes

    安全性修正：

    * apache-commons-beanutils：未預設隱藏 PropertyUtilsBean 中的類別屬性 (CVE-2019-10086)

    * libquartz：透過工作描述發動的 XXE 攻擊 (CVE-2019-13990)

    * novnc：透過傳播至狀態欄位的訊息導致的 XSS 弱點 (CVE-2017-18635)

    * bootstrap：工具提示或彈出式視窗 data-template 屬性中存在 XSS 弱點 (CVE-2019-8331)

    * nimbus-jose-jwt：剖析 JWT 時未攔截到的例外狀況 (CVE-2019-17195)

    * ovirt-engine：response_type 參數允許反映式 XSS (CVE-2019-19336)

    * nodejs-minimist：原型污染允許使用建構函式或 __proto__ 承載新增或修改 Object.prototype 的屬性 (CVE-2020-7598)

    * ovirt-engine：重新導向至任意 URL 允許網路釣魚 (CVE-2020-10775)

    * 存在跨網站指令碼，這是 injQuery.htmlPrefilter 方法不當所致 (CVE-2020-11022)

    * jQuery：將包含 <option> 元素的 HTML 傳遞至操控方法可導致不受信任的程式碼執行 (CVE-2020-11023)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2020:3247 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    ovirt-engine パッケージは、システム管理者が仮想マシンの閲覧および管理を行える集中管理プラットフォームである Red Hat Enterprise Virtualization Manager を提供します。このマネージャーは、検索機能、リソース管理、ライブ移行、仮想インフラプロビジョニングを含む包括的な機能を提供します。

    このマネージャーは JBoss Application Server アプリケーションであり、管理ポータル、VM ポータル、および Representational State Transfer (REST) アプリケーションプログラミングインターフェース (API) を含む、仮想環境へのアクセスおよび相互作用が可能な複数のインターフェースを提供します。

    この更新プログラムのバグ修正プログラムのリストは次のテクニカルノートで入手できます：

    https://access.redhat.com/documentation/en-us/red_hat_virtualization/4.4/html-single/technical_notes

    セキュリティ修正プログラム: 

    * apache-commons-beanutils: デフォルトで PropertyUtilsBean 内のクラスプロパティを抑制しない (CVE-2019-10086)

    * libquartz: ジョブ説明を介した XXE 攻撃 (CVE-2019-13990)

    * novnc: メッセージがステータスフィールドに伝播することによる XSS の脆弱性 (CVE-2017-18635)

    * bootstrap: ツールチップまたはポップオーバーデータテンプレート属性の XSS (CVE-2019-8331)

    * nimbus-jose-jwt: JWT の解析中に捕捉されない例外 (CVE-2019-17195)

    * ovirt-engine: response_type パラメーターは折り返し型 XSS を阻止しない (CVE-2019-19336)

    * nodejs-minimist: プロトタイプ汚染を使用すると、コンストラクターや __proto__ ペイロードを使用して Object.prototype のプロパティを追加したり変更したりすることが可能です (CVE-2020-7598)

    * ovirt-engine: 任意の URL へのリダイレクトは、フィッシングを可能にします (CVE-2020-10775)

    * injQuery.htmlPrefilter メソッドが不適切なことによるクロスサイトスクリプティング (CVE-2020-11022)

    * jQuery: <option> 要素を含む HTML を操作メソッドに渡すと、信頼できないコードが実行される可能性があります (CVE-2020-11023)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2020:3247 advisory.

    The ovirt-engine package provides the Red Hat Virtualization Manager, a     centralized management platform that allows system administrators to view and manage virtual machines. The     Manager provides a comprehensive range of features including search capabilities, resource management,     live migrations, and virtual infrastructure provisioning.

    The Manager is a JBoss Application Server application that provides several interfaces through which the     virtual environment can be accessed and interacted with, including an Administration Portal, a VM Portal,     and a Representational State Transfer (REST) Application Programming Interface (API).

    A list of bugs fixed in this update is available in the Technical Notes     book:

    https://access.redhat.com/documentation/en-us/red_hat_virtualization/4.4/html-single/technical_notes

    Security Fix(es):

    * apache-commons-beanutils: does not suppresses the class property in PropertyUtilsBean by default     (CVE-2019-10086)

    * libquartz: XXE attacks via job description (CVE-2019-13990)

    * novnc: XSS vulnerability via the messages propagated to the status field (CVE-2017-18635)

    * bootstrap: XSS in the tooltip or popover data-template attribute (CVE-2019-8331)

    * nimbus-jose-jwt: Uncaught exceptions while parsing a JWT (CVE-2019-17195)

    * ovirt-engine: response_type parameter allows reflected XSS (CVE-2019-19336)

    * nodejs-minimist: prototype pollution allows adding or modifying properties of Object.prototype using a     constructor or __proto__ payload (CVE-2020-7598)

    * ovirt-engine: Redirect to arbitrary URL allows for phishing (CVE-2020-10775)

    * Cross-site scripting due to improper injQuery.htmlPrefilter method (CVE-2020-11022)

    * jQuery: passing HTML containing <option> elements to manipulation methods could result in untrusted code     execution (CVE-2020-11023)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
210560	RHEL 8：RHV Manager (ovirt-engine) 4.4 (RHSA-2020:3247)	Nessus	Red Hat Local Security Checks	11/8/2024	3/6/2025	critical
210560	RHEL 8：RHV Manager (ovirt-engine) 4.4 (RHSA-2020:3247)	Nessus	Red Hat Local Security Checks	11/8/2024	3/6/2025	critical
210560	RHEL 8 : RHV Manager (ovirt-engine) 4.4 (RHSA-2020:3247)	Nessus	Red Hat Local Security Checks	11/8/2024	3/6/2025	critical
210560	RHEL 8 : RHV Manager (ovirt-engine) 4.4 (RHSA-2020:3247)	Nessus	Red Hat Local Security Checks	11/8/2024	3/6/2025	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical