1つのセキュリティの問題といくつかのバグを修正し、さまざまな拡張機能を導入したRed Hat OpenShift Enterpriseリリース2.2が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。OpenShift Enterprise 2.2では、異なる機器で実行中のサービスへのアクセスが適切に制限されていないことが報告されています。これにより、攻撃者が他のユーザーの機器で実行中の保護されていないネットワークリソースにアクセスする可能性があります。OpenShift Enterprise 2.2では、ファイアウォールルールとSELinuxポリシーを作成して、機器で実行中のサービスを独自の内部機器IPに封じ込めるoo-gear-firewallコマンドが導入されました。このコマンドは、このセキュリティ問題を回避するため、OpenShift Enterprise 2.2の新規インストール時にデフォルトで呼び出されます。このセキュリティ問題に対処するため、管理者は2.2にアップグレードした後、既存の展開のノードホストで次のコマンドを実行する必要があります：# oo-gear-firewall -i enable -s enable：詳細については、oo-gear-firewallコマンドのmanページを参照してください。（CVE-2014-3674）OpenShift Enterpriseは機器内の/proc/net/tcpファイルへのアクセスを制限していないため、ローカルユーザーがすべての待機中の接続と接続済みのソケットを表示できることが報告されています。これにより、使用中のリモートシステムのIPやポート番号が漏えいし、さらなる標的型攻撃に悪用される可能性があります。ローカルリスナーに対しては、OSEではデフォルトで接続を機器内に制限するため、ローカルポートとIPを知っていても攻撃者は接続することができません。このバグ修正により、ノードホストのSELinuxポリシーが更新され、ローカルユーザーはこの機器情報にアクセスできなくなりました。（CVE-2014-3602）OpenShift Enterprise 2.2リリースノートには、このリリースの新機能や重要な技術的変更、および初期インストールに関する注意事項が記載されています。OpenShift Enterpriseの詳細については、次のサイトで入手可能なドキュメントを参照してください：https://access.redhat.com/site/documentation/en-US/OpenShift_Enterprise/2/OpenShift Enterpriseのすべてのユーザーは、リリース2.2にアップグレードすることが推奨されます。

検出

RHEL 6：openshift（RHSA-2014:1796）

high Nessus プラグイン ID 119441

変更ログが見つかりません