いくつかのセキュリティ問題および複数のバグを修正し、さまざまな拡張機能を追加する Red Hat Subscription Asset Manager 1.2.1 が現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。

Red Hat サブスクリプションアセットマネージャーは、クライアントのマシンでサブスクリプション情報やソフトウェア更新を処理するためのプロキシとして機能します。

Subscription Asset Manager の最新パッケージには、多数のセキュリティ修正が含まれています：

Subscription Asset Manager インスタンスが作成される際に、その構成スクリプトは内部サブスクリプションのサービス CA 証明書の RPM を自動的に作成します。しかし、この RPM は 0666 のファイル権限を持つ CA 証明書を誤って作成していました。これにより、クライアントシステムの他のユーザーが、リモートのサブスクリプションサーバーを信頼するために使用する CA 証明書を改ざんすることが可能でした。全ての管理者は、サブスクリプションサーバーとして Subscription Asset Manager を使用している全システムのサブスクリプションサービス証明書を更新し、展開することが推奨されます。そのための手順は、こちらに記載されています：
https://access.redhat.com/knowledge/docs/en-US/ Red_Hat_Subscription_Asset_Manager/1.2/html/Installation_Guide/ sect-Installation_Guide-Administration-Upgrading_Subscription_Asset_Ma nager.html（CVE-2012-6116）

初期バージョンの Subscription Asset Manager には、マニフェストの署名チェックが実装されていません。これは、悪意のあるユーザーが、マニフェストファイルを編集したり、任意のデータを挿入したり、編集済みのマニフェストファイルを首尾よく Subscription Asset Manager へアップロードさせたりする可能性があることを意味します。
（CVE-2012-6119）

Ruby の文書ジェネレーターには、HTML 文書を生成する方法で、欠陥が存在します。Ruby アプリケーションがネットワーク上の文書（web ページなど）を漏洩した場合、攻撃者が特別に細工された URL を使用することで、アプリケーションのユーザーセッション内の HTML コードを実行したり、任意の Web スクリプトを開いたりする可能性があります。（CVE-2013-0256）

CookieのHMACダイジェストを処理するrubygem-rackおよびruby193-rubygem-rackにタイミング攻撃の欠陥が見つかりました。攻撃者がこの欠陥を悪用し、偽造されたデジタル署名を使用して、認証チェックをバイパスする可能性があります。（CVE-2013-0263）

rubygem-json の欠陥により、異なるタイプの悪意あるオブジェクトを作成することで、リモートの攻撃が可能です。このため、たとえば、決してガーベージコレクトされることのない任意の Ruby シンボルを作成するために JSON ドキュメントを使用することで、リソース消費を通じたサービス拒否（DoS）攻撃が起こる可能性があります。また、SQLインジェクション攻撃を可能にする内部オブジェクトを作成するために悪用される可能性もあります。（CVE-2013-0269）

Rails では Ruby の ActiveRecord にある欠陥により、リモートの攻撃者が属性プロテクションを回避し、細工された独自のリクエストを挿入して、保護された属性値を改ざんすることが可能です。（CVE-2013-0276）

Subscription Asset Manager の UI の通知フォームにあるユーザー名フィールドを記入する際に、HTML マークアップが適切にエスケープされていませんでした。
これは、値に使用された HTML コードが、エントリの閲覧時には UI ページに適用されることを意味します。これにより、悪意のある HTML コードの入力が許可される可能性があります。現在では、このフィールド値は検証されるようになり、あらゆる HTML タグはエスケープされるようになりました。（CVE-2013-1823）

これらの更新済みパッケージには、バグ修正や拡張機能も含まれています。

* 以前は、Subscription Asset Manager パッケージに、サブスクリプションサービスの SELinux ポリシーは含まれていませんでした。現在は、サブスクリプションサーバーの SELinux ポリシーが candlepin-selinux パッケージに含まれています。（BZ#906901）

* インポート中にマニフェストを検証するためにサブスクリプションサービスの CA 証明書を使用しようとすると、比較が失敗します。マニフェストを作成した Upstream サブスクリプションサービスは、ローカルサブスクリプションサービスとは異なるサービスです。そのため、異なる CA 証明書を使用します。このことは、「署名のアーカイブ失敗」というエラーによるマニフェストのインポート失敗を引き起こします。これはすでに修正済みであり、検証には適切な証明書が使用されています。（BZ#918778）

Subscription Asset Manager の全ユーザーは、最新のパッケージへ更新することが推奨されます。

検出

RHEL 6：サブスクリプションアセットマネージャー（RHSA-2013：0686）

high Nessus プラグイン ID 65904

変更ログが見つかりません