Red Hat OpenShift Enterprise 1.1.1が利用可能になりました。Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。OpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、Red Hatのクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。この更新では、更新済みパッケージのインストールとOpenShiftサービスの再起動のみが必要です。ただし、OpenShift Enterprise 1.1.1の更新の適用中にシステムをRed Hat Enterprise Linux 6.4に更新する場合は、システムを再起動することを推奨します。このリリースの詳細については、間もなくhttps://access.redhat.com/knowledge/docs/から入手できる『OpenShift Enterprise 1.1.1テクニカルノート』を参照してください。この更新では、次のセキュリティ問題も修正されています：rubygem-actionpackで複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-actionpackを使用するアプリケーションのユーザーに対してXSS攻撃を仕掛ける可能性があります。（CVE-2012-3463、CVE-2012-3464、CVE-2012-3465）一部のメソッドでは、Rubyの下層のルーチンに渡す前に、ファイル名をサニタイズしていないことがわかりました。Rubyアプリケーションが信頼できない入力に基づく名前でファイルを作成すると、予期していた名前とは違う名前でファイルが作成される可能性があります。（CVE-2012-4522）Rubyの連想配列（ハッシュ値）の実装でサービス拒否の欠陥が見つかりました。配列にデータを挿入するときにキーとして使用される多数の入力（Webアプリケーションに送信されるHTTP POSTリクエストパラメーターなど）をRubyアプリケーションに供給できる攻撃者が、複数のハッシュ関数衝突を発生させ、配列の操作に過度に長いCPU時間を消費させる可能性があります。この問題を緩和するために、衝突に対してより強い新しいアルゴリズムが使用されており、攻撃者が意図的に衝突を引き起こす可能性が低減しています。（CVE-2012-5371）rubygem-activerecordに複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-activerecordを使用するアプリケーションに対してSQLインジェクション攻撃を仕掛ける可能性があります。（CVE-2012-2661、CVE-2012-2695、CVE-2013-0155）rubygem-actionpackに複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-actionpackとrubygem-activerecordを使用するアプリケーションに対してSQLインジェクション攻撃を仕掛ける可能性があります。（CVE-2012-2660、CVE-2012-2694）rubygem-actionpack のHTTPダイジェスト認証の実装に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、rubygem-actionpackとダイジェスト認証を使用するアプリケーションにサービス拒否を引き起こす可能性があります。（CVE-2012-3424）Ruby安全レベル4の文字列処理に欠陥が見つかりました。リモートの攻撃者が、例外#to_sを使用して汚染されていない文字列を破壊的に変更して汚染させ、文字列を任意に変更する可能性があります。（CVE-2012-4466）例外メッセージをRuby例外クラスの文字列に変換するためのメソッドで、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、安全レベル4の制限をバイパスする可能性があります。これにより、信頼できない（汚染した）コードにより、任意の信頼されている（汚染していない）文字列が変更される可能性があります。欠陥がなければ、このような動作は、安全レベル4の制限により防止されます。（CVE-2012-4464）rubygem-ruby_parserのruby_parserが安全でない方法で一時ファイルを作成していたことが見つかりました。ローカルの攻撃者がこの欠陥を悪用して、シンボリックリンク攻撃を仕掛け、ruby_parser を使用するアプリケーションがアクセス可能な任意のファイルを上書きする可能性があります。（CVE-2013-0162）CVE-2013-0162の問題は、Red Hat地域ITチームのMichael Scherer氏により発見されました。ユーザーは、Red Hat OpenShift Enterprise 1.1.1にアップグレードすることが推奨されます。

検出

RHEL 6：openshift（RHSA-2013:0582）

high Nessus プラグイン ID 119432

変更ログが見つかりません