RHEL 6：rhev-hypervisor6（RHSA-2014:0041）

high Nessus プラグイン ID 78994

Language:

概要

リモート Red Hat ホストにセキュリティ更新がありません。

説明

多数のセキュリティ問題を修正する更新済みの rhev-hypervisor6 パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

rhev-hypervisor6 パッケージは、Red Hat Enterprise Virtualization Hypervisor ISO ディスクイメージを提供します。Red Hat Enterprise Virtualization Hypervisor は、専用のカーネルベース仮想マシン（KVM）ハイパーバイザーです。仮想マシンの実行および管理に必要な全ての機能が含まれています：Red Hat Enterprise Linux 操作環境と Red Hat Enterprise Virtualization Agent のサブセット。

注：Red Hat Enterprise Virtualization ハイパーバイザーが使用できるのは、仮想化拡張対応の Intel 64 および AMD64 のアーキテクチャだけです。

アップグレードの注意：Red Hat Enterprise Virtualization Hypervisor 6.4 を 3.3 Manager 管理ポータルでバージョン 6.5 へアップグレードする場合、TUI でレポートする際に、以前のシステムの構成が失われているように思われます。ただし、これは TUI 自体の問題であって、アップグレードプロセスの問題ではありません。システムの構成は影響を受けません。

NSS が無効なハンドシェイクパケットを処理する方法で欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用することで、NSS を使用する TLS/SSL クライアントをクラッシュさせたり、アプリケーションを実行しているユーザーの権限で任意のコードを実行できる恐れがあります。（CVE-2013-5605）

TLS プロトコルバージョン 1.2 が有効な場合、OpenSSL が使用するハッシングアルゴリズムを決定する方法に欠陥が見つかりました。これにより、 OpenSSL は正しくないハッシングアルゴリズムを使用することがあり、そのライブラリを使用しているアプリケーションのクラッシュにつながります。（CVE-2013-6449）

OpenSSL が TLS/SSL プロトコルのハンドシェイクパケットを処理する方法に、NULL ポインターデリファレンスの欠陥が見つかりました。特別に細工されたハンドシェイクパケットにより、 OpenSSL を使用する TLS/SSL クライアントがクラッシュする可能性があります。
（CVE-2013-4353）

NSS が、verifyLog 機能が有効な場合でも、不適合なキーの使用制約がある証明書を検証時に拒否しないことが判明しました。NSS 証明書検証 API を使用するアプリケーションが、無効な証明書を受け付ける恐れがあります。
（CVE-2013-5606）

Red Hat は、Mozilla プロジェクトが CVE-2013-5606 を報告してくれたことに感謝の意を表します。Upstream では、Camilo Viecco 氏を、CVE-2013-5606 の最初の報告者として認識しています。

この更新済みパッケージは、多数のセキュリティ問題の修正を含む更新済みコンポーネントを提供します。しかし、これらの問題による Red Hat Enterprise Virtualization Hypervisor 自体のセキュリティへの影響はありません。この更新に含まれているセキュリティ修正は、以下の CVE 番号に対処します：

CVE-2013-6462 （libXfont の問題）

CVE-2013-6629、CVE-2013-6630 （libjpeg-turbo の問題）

CVE-2013-1739、CVE-2013-1741、CVE-2013-5607 （nss、nspr の問題）

CVE-2013-6450（openssl の問題）

CVE-2013-6425 （pixman の問題）

Red Hat Enterprise Virtualization Hypervisor のユーザーはこの更新済みパッケージへアップグレードし、この問題を修正することが推奨します。

ソリューション

影響を受ける rhev-hypervisor6 パッケージを更新してください。

参考資料

http://www.nessus.org/u?c6b506c4

https://access.redhat.com/errata/RHSA-2014:0041

https://access.redhat.com/security/cve/cve-2013-5606

https://access.redhat.com/security/cve/cve-2013-5605

https://access.redhat.com/security/cve/cve-2013-6449

https://access.redhat.com/security/cve/cve-2013-4353

プラグインの詳細

深刻度: High

ID: 78994

ファイル名: redhat-RHSA-2014-0041.nasl

バージョン: 1.10

タイプ: local

エージェント: unix

ファミリー: Red Hat Local Security Checks

公開日: 2014/11/8

更新日: 2021/1/14

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus