RHEL 5：MRG（RHSA-2013:1851）

high Nessus プラグイン ID 76670

Language:

概要

リモート Red Hat ホストにセキュリティ更新がありません。

説明

複数のセキュリティ問題を修正する、更新済みの Grid コンポーネントパッケージが、Red Hat Enterprise Linux 5 用の Red Hat Enterprise MRG 2.4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

[2013 年 12 月 17 日に更新済み] 以前このエラータは、RubyGems の問題である CVE-2012-2125、CVE-2012-2126 および CVE-2013-4287 を、この更新で対処済みとして間違ってリストしていました。しかし、rubygems コンポーネントは Red Hat Enterprise Linux 5 用の Red Hat Enterprise MRG 2.4 の一部としては含まれておらず、Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG 2.4 の一部としてのみ含まれています。これらの問題は、そこで RHSA-2013:1852 を通じて修正されました。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

MRG Grid は高スロープットなコンピューティングを提供しています。また、企業が、既存のテクノロジーを利用して、より高度なピークコンピューティング力や改善されたインフラストラクチャの利用を実現し、高パフォーマンスグリッドを構築できるようにしています。MRG Grid は、ジョブの待ち行列メカニズム、スケジューリングポリシー、優先度スキーム、リソースの監視、およびリソース管理を提供しています。ユーザーは、MRG Grid にジョブを送信します。すると、ジョブはキューに配置されます。そして、MRG Grid はポリシーに基づいて時と場所を選択し、慎重に進度を監視し、最後には完了時にユーザーに通知を行います。

cumin がユーザーロールを強制していた方法で、欠陥が見つかりました。この欠陥により、権限のない cumin ユーザーは適切なロールなしで、あらゆるリソースにアクセスできるようになります。リモートの認証されている攻撃者はこの欠陥を利用して特権情報にアクセスすることや、多様な特権操作を行うことができます。（CVE-2013-4404）

cumin Web インターフェイスがクロスサイトリクエスト偽造（CSRF）攻撃に対する保護を提供しないことが見つかりました。リモートの攻撃者は cumin Web インターフェイスにログインしているユーザーを騙して、特別に細工された URL にアクセスさせることができれば、ログインしているユーザーのコンテキストでアクションを実行できることがあります。（CVE-2013-4405）

cumin が、cumin Web インターフェイスの「Set limit」フォームの「Max allowance」フィールドから入力を適切にエスケープしていないことが見つかりました。リモートの攻撃者がこの欠陥を利用して、クロスサイトスクリプティング（XSS）攻撃を被害者に対して実行し、被害者を騙して、特別に細工された URL にアクセスさせることができます。（CVE-2013-4414）

cumin が POST リクエストデータを解析していた方法で、欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、cumin のデータベースで SQL インジェクション攻撃を行う可能性があります。（CVE-2013-4461）

CVE-2013-4404、CVE-2013-4405、CVE-2013-4414、および CVE-2013-4461 の問題は、Red Hat MRG 品質エンジニアリングチームの Tomáš Nováčik 氏により発見されました。

Red Hat Enterprise MRG の Grid 機能の全ユーザーは、この更新済みのパッケージへアップグレードし、これらの問題を修正することが推奨されます。

ソリューション

影響を受ける cumin パッケージを更新してください。

参考資料

https://access.redhat.com/errata/RHSA-2013:1851

https://access.redhat.com/security/cve/cve-2013-4461

https://access.redhat.com/security/cve/cve-2013-4404

https://access.redhat.com/security/cve/cve-2013-4414

https://access.redhat.com/security/cve/cve-2013-4405

プラグインの詳細

深刻度: High

ID: 76670

ファイル名: redhat-RHSA-2013-1851.nasl

バージョン: 1.12

タイプ: local

エージェント: unix

ファミリー: Red Hat Local Security Checks

公開日: 2014/7/22

更新日: 2021/1/14

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus