複数のセキュリティ問題を修正する更新済みの spacewalk-java、spacewalk-web、および satellite-branding のパッケージが、Red Hat Satellite 5.6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Satellite は、Linux ベースのインフラストラクチャ用のシステム管理ツールです。単一の集中型ツールで、多数の Linux デプロイメントのプロビジョニング、リモート管理および監視を行うことができます。

Red Hat Satellite の Web インターフェイスが登録されたシステム用のメモをサニタイズする方法で、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。認証されたリモートの Red Hat Satellite のユーザーが、悪意あるメモを作成する可能性があります。被害者がこれを表示すると、そのメモを表示しているユーザーの権限で、任意の Web スクリプトを実行する可能性があります。
（CVE-2012-6149）

Red Hat Satellite の Web インターフェイスにクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者は、特別に細工されたリンクを提供する可能性があります。認証された Red Hat Satellite のユーザーがこれを閲覧すると、ユーザーの Web インターフェイスセッションのコンテキストで、任意の Web スクリプトの実行を引き起こす可能性があります。（CVE-2013-1871、CVE-2013-4415）

Red Hat Satellite の Web インターフェイスが、すべての HTTP GET リクエストに対する返却 URL パラメーター処理する方法で、HTTP ヘッダー注入の欠陥が見つかりました。リモートの攻撃者は、この欠陥を利用して、サイトを閲覧しているユーザーを標的に、クロスサイトスクリプティング（XSS）攻撃や HTTP 応答分割攻撃を仕掛ける可能性があります。（CVE-2013-1869）

Red Hat は、Puppet Labs の Ben Ford 氏が CVE-2012-6149 を、UPMC の Ryan Giobbi 氏が CVE-2013-1869 および CVE-2013-1871 を、Foreground Security の Adam Willard 氏および Jose Carlos de Arriba 氏が CVE-2013-4415 を報告してくれたことに感謝の意を表します。

Red Hat Satellite 5.6 のユーザーは、これらの問題を解決する更新済みのパッケージにアップグレードすることが推奨されます。この更新を有効にするには、Red Hat Satellite を再起動する必要があります。詳細についは、ソリューションセクションを参照してください。

検出

RHEL 5 / 6：spacewalk-java、spacewalk-web、および satellite-branding（RHSA-2014:0148）

medium Nessus プラグイン ID 78995

変更ログが見つかりません