RHEL 7 : openstack-cinder、openstack-glance、および openstack-nova の更新 (重要度中) (RHSA-2016:2991)
high Nessus プラグイン ID 233188
Language:
概要
リモートの Red Hat ホストにセキュリティ更新プログラムが適用されていません。説明
リモート Redhat Enterprise Linux 7 ホストに、RHSA-2016:2991 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。OpenStack Compute (nova) は、仮想マシンの大規模ネットワークの起動とスケジューリングを行い、冗長でスケーラブルなクラウドコンピューティングプラットフォームを構築します。Compute は、仮想マシンインスタンスの実行やユーザーおよびプロジェクトを通じたアクセスの制御など、クラウドのオーケストレーションに必要なソフトウェア、コントロールパネル、API を提供しています。
OpenStack Block Storage (cinder) は、ブロックストレージのマウントと、そのようなマウントされたブロックストレージのインスタンスへのプレゼンテーションを管理します。バックエンド物理ストレージは、ローカルディスク、またはコンピュートノードに接続されたファイバーチャネル、iSCSI、NFS のマウントで構成できます。さらに、Block Storage はボリュームバックアップと、一時的な保存と復元操作のためのスナップショットをサポートしています。プログラムによる管理は、Block Storage の API を介して利用できます。
OpenStack Image Service (glance) は、ディスクおよびサーバーイメージの検出、登録、配信サービスを提供します。このサービスは、サーバーイメージをコピーまたはスナップショットして、即座に保存する機能を提供します。保存されたイメージをテンプレートとして使用すると、サーバーのオペレーティングシステムをインストールして個別に追加サービスを構成するよりも、新しいサーバーを素早く安定して稼働させることができます。
次のパッケージが新しいアップストリームバージョンにアップグレードされました: openstack-nova (12.0.5)、openstack-cinder (7.0.3)、openstack-glance (11.0.1)。(BZ#1381466、BZ#1396263)
セキュリティ修正プログラム:
* OpenStack Compute (nova)、Block Storage (cinder)、Image (glance) のサービスのリソース脆弱性が、それらによる qemu-img の使用時に見つかりました。権限のないユーザーが、悪意のある画像をアップロードすることで、コンピュートホストで 4 GB もの RAM を消費する可能性があります。この欠陥により、ホストのメモリ不足エラーや、実行中の他のテナントインスタンスに悪影響を与える可能性があります。(CVE-2015-5162)
この問題は、Richard W.M 氏により発見されました。Jones (Red Hat)。
バグ修正プログラム:
* OSProfiler ライブラリの Unicode 文字列処理に既知の問題があります。結果として、非 ASCII 文字を使用する場合、Block Storage (cinder) スナップショットの作成に失敗します。この更新では、OSProfiler ライブラリは cinder 構成で特別に有効化されていない限りロードされません。結果として、OSProfiler における Unicode 処理の問題が依然として存在しており、OSProfiler を使用する場合に同じエラーが発生します。ただし、これはほとんどの cinder 構成で発生する可能性は低いと考えられます。この問題のより詳細な解決策は、現在サポート範囲外です。(BZ#1383899)
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=1268303
https://bugzilla.redhat.com/show_bug.cgi?id=1357461
https://bugzilla.redhat.com/show_bug.cgi?id=1379385
https://bugzilla.redhat.com/show_bug.cgi?id=1381466
https://bugzilla.redhat.com/show_bug.cgi?id=1381534
https://bugzilla.redhat.com/show_bug.cgi?id=1381965
https://bugzilla.redhat.com/show_bug.cgi?id=1383899
https://bugzilla.redhat.com/show_bug.cgi?id=1385486
https://bugzilla.redhat.com/show_bug.cgi?id=1386263
https://bugzilla.redhat.com/show_bug.cgi?id=1387467
https://bugzilla.redhat.com/show_bug.cgi?id=1387617
https://bugzilla.redhat.com/show_bug.cgi?id=1390109
https://bugzilla.redhat.com/show_bug.cgi?id=1396263
プラグインの詳細
深刻度: High
ID: 233188
ファイル名: redhat-RHSA-2016-2991.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
公開日: 2025/3/21
更新日: 2025/3/21
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
Vendor
Vendor Severity: Moderate
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 6.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2015-5162
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:openstack-nova-common, p-cpe:/a:redhat:enterprise_linux:openstack-nova-novncproxy, p-cpe:/a:redhat:enterprise_linux:openstack-nova-serialproxy, p-cpe:/a:redhat:enterprise_linux:openstack-glance, p-cpe:/a:redhat:enterprise_linux:openstack-nova-cells, p-cpe:/a:redhat:enterprise_linux:openstack-nova-scheduler, p-cpe:/a:redhat:enterprise_linux:openstack-nova-objectstore, p-cpe:/a:redhat:enterprise_linux:openstack-nova-network, p-cpe:/a:redhat:enterprise_linux:openstack-nova-console, p-cpe:/a:redhat:enterprise_linux:openstack-cinder, p-cpe:/a:redhat:enterprise_linux:openstack-nova-spicehtml5proxy, p-cpe:/a:redhat:enterprise_linux:python-nova, p-cpe:/a:redhat:enterprise_linux:openstack-nova-api, p-cpe:/a:redhat:enterprise_linux:openstack-nova-compute, p-cpe:/a:redhat:enterprise_linux:python-glance, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:openstack-nova, p-cpe:/a:redhat:enterprise_linux:openstack-nova-conductor, p-cpe:/a:redhat:enterprise_linux:openstack-nova-cert, p-cpe:/a:redhat:enterprise_linux:python-cinder
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2016/12/21
脆弱性公開日: 2015/4/27
参照情報
CVE: CVE-2015-5162