RHEL 8:Red Hat Single Sign-On 7.3.4(RHSA-2019:3046)

critical Nessus プラグイン ID 129865

概要

リモートのRed Hatホストに1つ以上のセキュリティ更新プログラムがありません。

説明

新しいRed Hat Single Sign-On 7.3.4パッケージがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS(共通脆弱性評価システム)ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Single Sign-On 7.3は、Keycloakプロジェクトに基づいたスタンドアロンのサーバーで、Webアプリケーションとモバイルアプリケーションに認証と標準ベースのシングルサインオン機能を提供します。RHEL 8用Red Hat Single Sign-On 7.3.4のこのリリースはRed Hat Single Sign-On 7.3.3を置き換え、バグ修正および強化を含んでいます。バグ修正や強化の内容は、「参照」でリンクされているリリースノートにドキュメント化されています。セキュリティ修正プログラム:* keycloak:クロスレルムユーザーアクセス認証のバイパス(CVE-2019-14832)* keycloak:アダプタのエンドポイントが任意のURLを介して公開される(CVE-2019-14820)* jackson-databind:多態的型付けの問題により、攻撃者が細工されたJSONメッセージを介してサーバー上の任意のローカルファイルを読み取る可能性があります(CVE-2019-12814)* jackson-databind:デフォルトの型付けを誤って処理することにより、リモートコードの実行が引き起こされる(CVE-2019-14379)* jackson-databind:多態的型付けの問題により、攻撃者がサーバー上の任意のローカルファイルを読み取る可能性があります (CVE-2019-12086)* undertow:末尾のスラッシュがないディレクトリに対するリクエストにおける情報漏えい(CVE-2019-10184)影響、CVSSスコア、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

ソリューション

影響を受けるrh-sso7-keycloak、rh-sso7-keycloak-serverパッケージを更新してください。

参考資料

http://www.nessus.org/u?79aff225

http://www.nessus.org/u?93d4a9a3

https://access.redhat.com/errata/RHSA-2019:3046

https://access.redhat.com/security/updates/classification/#important

https://bugzilla.redhat.com/show_bug.cgi?id=1649870

https://bugzilla.redhat.com/show_bug.cgi?id=1713068

https://bugzilla.redhat.com/show_bug.cgi?id=1713468

https://bugzilla.redhat.com/show_bug.cgi?id=1725795

https://bugzilla.redhat.com/show_bug.cgi?id=1737517

https://bugzilla.redhat.com/show_bug.cgi?id=1749487

https://issues.redhat.com/browse/KEYCLOAK-11456

プラグインの詳細

深刻度: Critical

ID: 129865

ファイル名: redhat-RHSA-2019-3046.nasl

バージョン: 1.7

タイプ: local

エージェント: unix

公開日: 2019/10/15

更新日: 2024/6/3

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: High

基本値: 7.5

現状値: 5.9

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2019-14379

CVSS v3

リスクファクター: Critical

基本値: 9.8

現状値: 8.8

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:rh-sso7-keycloak, p-cpe:/a:redhat:enterprise_linux:rh-sso7-keycloak-server, cpe:/o:redhat:enterprise_linux:8

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2019/10/14

脆弱性公開日: 2019/5/17

参照情報

CVE: CVE-2019-10184, CVE-2019-12086, CVE-2019-12814, CVE-2019-14379, CVE-2019-14820, CVE-2019-14832

CWE: 200, 502, 862, 863

RHSA: 2019:3046