複数のセキュリティ問題を修正する更新済みの Subscription Asset Manager 1.4 パッケージが現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat サブスクリプションアセットマネージャーは、クライアントのマシンでサブスクリプション情報やソフトウェア更新を処理するためのプロキシとして機能します。Red Hat Subscription Asset Manager は、Web アプリケーション開発のモデル・ビユー・コントローラー（MVC）のフレームワークである Ruby on Rails 上にビルドされています。
Action Pack では、コントローラーとビューのコンポーネントを実装しています。

Ruby on Rails がルート上のワイルドカードセグメントを暗黙的レンダリングで処理する方法で、ディレクトリトラバーサルの欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、特別に細工されたリクエストを通じて、前述のルートを使用する Ruby on Rails アプリケーションにアクセス可能な任意のローカルファイルを取得する可能性があります。（CVE-2014-0130）

Ruby on Rails が特定のクエリ内でハッシュを処理する方法で、欠陥が見つかります。リモートの攻撃者がこの欠陥を利用して、特別に細工されたクエリを送ることでサービス拒否（リソース消費）攻撃を実行する可能性があり、これにより、ガベージコレクションが行われなかった Ruby シンボルが作成されることになります。（CVE-2013-1854）

Action Pack に 2 つのクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を利用して、Action Pack を使用するアプリケーションのユーザーに対して XSS 攻撃を仕掛ける可能性があります。（CVE-2013-1855、CVE-2013-1857）

ある状況下において、Ruby on Rails の国際化対応コンポーネントが、ユーザー入力を含むフォールバック HTML 文字列を返す可能性があることが判明しました。リモートの攻撃者がこの欠陥を利用して、前述のコンポーネントを使用するアプリケーションに特別に細工された入力を行い、折り返し型クロスサイトスクリプティング（XSS）攻撃を実行する可能性があります。（CVE-2013-4491）

Action View のコンポーネントを処理するヘッダーに、サービス拒否の欠陥が見つかりました。リモートの攻撃者が無期限にキャッシュされる特別に細工されたヘッダー内で文字列を送信する可能性があり、それにより最終的にすべての利用可能なシステムメモリが消費されることになります。（CVE-2013-6414）

number_to_currency Action View ヘルパーがユニットパラメーターを正しくエスケープしていなかったことが判明しました。攻撃者がこの欠陥を利用して、ユニットパラメーターにおいてユーザーが送信したデータを使用するアプリケーションにクロスサイトスクリプティング（XSS）攻撃を実行する可能性があります。（CVE-2013-6415）

Red Hat は、これらの問題を報告してくれた Ruby on Rails の Upstream に感謝の意を表します。Upstream は Ben Murphy 氏を CVE-2013-1854 の最初の報告者、Charlie Somerville 氏を CVE-2013-1855 の最初の報告者、Alan Jenkins 氏を CVE-2013-1857 の最初の報告者、Peter McLarnan 氏を CVE-2013-4491 の最初の報告者、Toby Hsieh 氏を CVE-2013-6414 の最初の報告者、および Ankit Gupta 氏を CVE-2013-6415 の最初の報告者として、それぞれ認めています。

Subscription Asset Manager の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を修正することが推奨されます。

検出

RHEL 6：Subscription Asset Manager（RHSA-2014:1863）

medium Nessus プラグイン ID 79326

変更ログが見つかりません