1 つのセキュリティ問題を修正する更新済みの katello-configure パッケージが、Red Hat Subscription Asset Manager で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

katello-configure パッケージでは、Katello のインストールを構成する katello-configure スクリプト、およびバージョン間のアップグレードを処理する katello-upgrade スクリプトが提供されます。

Elasticsearch のデフォルトの構成では、動的なスクリプト作成が有効であることが判明しました。これにより、リモートの攻撃者は、_search にソースパラメーターを渡すことで、任意の MVEL 式や Java コードを実行することが可能です。（CVE-2014-3120）

Subscription Asset Manager の全ユーザーは、この更新済みパッケージにアップグレードすることが推奨されます。この更新では、elasticsearch.yml 構成ファイルを修正して動的なスクリプト作成を無効にするためのスクリプトが提供されます。
更新の後に、「katello-configure」コマンドを実行してください。これにより、elasticsearch.yml 構成ファイルを更新し、elasticsearch サービスを再起動します。

検出

RHEL 6：katello-configure（RHSA-2014:1186）

medium Nessus プラグイン ID 77661

変更ログが見つかりません