いくつかのセキュリティの問題を修正し、1 つの拡張を追加する更新済みのパッケージが、Red Hat Enterprise Linux 5 および 6 用の Red Hat Network Satellite 5.4.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Network（RHN）Satellite では、サーバーのメンテナンスやパッケージ展開の完全な制御やプライバシーを必要とする組織にソリューションを提供しています。これにより、このような組織は使用しているサーバーやその他クライアントシステムに対してパブリックインターネットアクセスを提供せずに、Red Hat Network を活用することができます。

RHN Satellite Web インターフェイスで、複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を利用して、RHN Satellite Web インターフェイスを使用している被害者に対して、クロスサイトスクリプティング攻撃を行う可能性があります。（CVE-2011-2919、CVE-2011-2920、CVE-2011-2927、 CVE-2011-3344）

RHN Satellite Web インターフェイスのログインページで、オープンリダイレクトの欠陥が見つかりました。リモートの攻撃者が被害者を騙して、特別に細工されたリンクを使用してログインページを開かせ、ログインが成功した場合、被害者を任意のページへリダイレクトするる可能性があります。（CVE-2011-1594）

Red Hat は、CVE-2011-2919 を報告していただいた Daniel Karanja Muturi 氏、個別に CVE-2011-2920 を報告していただいた Nils Juenemann 氏および The Bearded Warriors、CVE-2011-2927 を報告していただいた Nils Juenemann 氏、CVE-2011-3344 を報告していただいた Sylvain Maes 氏、CVE-2011-1594 を報告していただいた SuSE Security セキュリティチームの Thomas Biege 氏に感謝の意を表します。

この更新により、次の拡張機能も追加されます：

* RHN Satellite によって設定されたセッションクッキーには、「HTTPOnly」というマークが付きます。
この設定は、これらのクッキーにアクセスするスクリプトをブラウザに対して許可しないように指示することで、クロスサイトスクリプティングの欠陥の影響を低減させるのに役立ちます。
（BZ#713477）

Red Hat Network Satellite 5.4.1 のユーザーは、パッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、この拡張機能を追加することが推奨されます。この更新を有効にするには、 Red Hat Network Satellite を再起動する必要があります。詳細についは、ソリューションセクションを参照してください。

検出

RHEL 5/6：Satellite サーバー（RHSA-2011:1299）

medium Nessus プラグイン ID 63999

変更ログが見つかりません