Red Hat セキュリティアドバイザリ 2013:0511 から：

複数のセキュリティ問題と 2 つのバグを修正し、様々な拡張機能を追加する、更新済みの pki-core パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Certificate System は、エンタープライズ公開鍵基盤（PKI）の導入を管理するために設計されたエンタープライズソフトウェアシステムです。PKI Core には、認証局（CA）サブシステムから成る、Red Hat Certificate System が必要とする基本パッケージが含まれています。

注：このアドバイザリによって提供されている認証局コンポーネントは、スタンドアロンサーバーとしては使用できません。これは、Red Hat Enterprise Linux の Identity Management（IPA コンポーネント）の一部としてインストールされ、動作します。

Certificate System に、複数のクロスサイトスクリプティングの欠陥が見つかりました。攻撃者はこれらの欠陥を利用して、Certificate System の Web インターフェイスを使用している被害者に対してクロスサイトスクリプティング攻撃（XSS）を行う可能性があります。(CVE-2012-4543)

この更新は以下のバグも修正します：

* 以前は、新しいシリアル番号を生成する際に大きい整数値が不適切に変換されることで、シリアル番号内の最も重要なビットの一部が切り捨てられました。結果として、証明書に対して生成されたシリアル番号が予想よりも小さくなることがあり、この小さい番号の証明書がデータベースにすでに存在する場合、この不適切な変換により競合が発生しました。この更新では不適切な整数変換が排除されているため、シリアル番号が切り捨てられることはなくなります。結果として、インストールウィザードは期待通りに動作します。
（BZ#841663）

* 認証局は、監査証明書の更新と発行に異なるプロファイルを使用しました。発行プロファイルの期間は 2 年間、更新プロファイルの期間は 6 か月でした。これらは両者とも 2 年間である必要があります。この更新では、caSignedLogCert.cfg 監査証明書更新プロファイルでデフォルトおよび制約パラメーターを 2 年間に設定します。（BZ#844459）

この更新により、次の拡張機能も追加されます：

* IPA（Identity、Policy、Audit）では、PKI が起動しており、サービスリクエストに応える準備ができているかを判断するための方法が改善されています。サービスステータスを確認するだけでは不十分でした。この更新では、CS.cfg の cs.startup_state に問い合わせを行うために、PKI サブシステムが getStatus() 関数を使用して起動していることをクライアントが判断するためのメカニズムを作成します。
（BZ#858864）

* この更新では、デフォルトの root CA 有効期間が 8 年から 20 年に延長されます。（BZ#891985）

pki-core のすべてのユーザーは、これらの更新済みパッケージにアップグレードして、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

検出

Oracle Linux 6：pki-core（ELSA-2013-0511）

medium Nessus プラグイン ID 68749

変更ログが見つかりません