RHEL 6：katello-configure（RHSA-2014:1186）
medium Nessus プラグイン ID 77661
Language:
概要
リモート Red Hat ホストにセキュリティ更新がありません。説明
1 つのセキュリティ問題を修正する更新済みの katello-configure パッケージが、Red Hat Subscription Asset Manager で現在利用可能です。Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。
katello-configure パッケージでは、Katello のインストールを構成する katello-configure スクリプト、およびバージョン間のアップグレードを処理する katello-upgrade スクリプトが提供されます。
Elasticsearch のデフォルトの構成では、動的なスクリプト作成が有効であることが判明しました。これにより、リモートの攻撃者は、_search にソースパラメーターを渡すことで、任意の MVEL 式や Java コードを実行することが可能です。（CVE-2014-3120）
Subscription Asset Manager の全ユーザーは、この更新済みパッケージにアップグレードすることが推奨されます。この更新では、elasticsearch.yml 構成ファイルを修正して動的なスクリプト作成を無効にするためのスクリプトが提供されます。
更新の後に、「katello-configure」コマンドを実行してください。これにより、elasticsearch.yml 構成ファイルを更新し、elasticsearch サービスを再起動します。
ソリューション
影響を受ける katello-configure パッケージを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 77661
ファイル名: redhat-RHSA-2014-1186.nasl
バージョン: 1.19
タイプ: local
エージェント: unix
公開日: 2014/9/12
更新日: 2022/3/28
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 9.7
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5.9
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2014-3120
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:katello-configure, cpe:/o:redhat:enterprise_linux:6
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2014/9/11
脆弱性公開日: 2014/7/28
CISA の既知の悪用された脆弱性の期限日: 2022/4/15
エクスプロイト可能
Metasploit (ElasticSearch Dynamic Script Arbitrary Java Execution)
参照情報
CVE: CVE-2014-3120
BID: 67731
RHSA: 2014:1186