RHEL 6：qpid-cpp（RHSA-2015:0661）
high Nessus プラグイン ID 81727
Language:
概要
リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。説明
複数のセキュリティ問題および 1 つのバグを修正する更新済みの qpid-cpp パッケージが Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG Messaging 2.5 に使用できるようになりました。Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。
Qpid パッケージは、Qpid C++ を使用して開発された AMQP クライアントアプリケーションのためのランタイムライブラリとともにオープン AMQP メッセージングプロトコルを使用してメッセージを受信、保存およびルーティングするメッセージブローカーデーモンを提供します。クライアントは、AMQP プロトコルを使用して AMQP メッセージブローカーとメッセージを交換します。
ANONYMOUS メカニズムが許可されない場合に、Qpid デーモン（qpidd）が匿名ユーザーにアクセスを制限しないことが見つかっていました。
(CVE-2015-0223)
複数の欠陥が Qpid デーモン（qpidd）がある種のプロトコルシーケンスを処理する方法で見つかりました。認証されていない攻撃者が、特別に細工されたプロトコルシーケンスを送信できる場合、この欠陥を利用して qpidd をクラッシュさせるおそれがありました。（CVE-2015-0203、 CVE-2015-0224）
Red Hat は、CVE-2015-0203 の問題を報告してくれた Apache Software Foundation に感謝の意を表します。Upstream では、MWR Labs の G. Geshev 氏をオリジナルレポーターと認識しています。
この更新では以下のバグも修正されます。
* この更新以前は、メッセージパージはタイマースレッド上で実行されていたため、大きなパージイベントで、他のすべてのタイマータスクが遅延していました。ハートビートもこのスレッド上のタイマーにより駆動されているため、ハートビートを受信できなくなり、これにより、クライアントがタイムアウトするおそれがありました。この修正で、失効したメッセージパージがタイマースレッドからワーカースレッドに移動されるため、長時間実行されている失効したメッセージパージがハートビートタイマーなどのタイマータスクに影響しなくなります。（BZ#1142833）
Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG Messaging 2.5 の全ユーザーは、更新済みのパッケージへアップグレードし、これらの問題を修正することが推奨されます。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://access.redhat.com/errata/RHSA-2015:0661
https://access.redhat.com/security/cve/cve-2015-0203
プラグインの詳細
深刻度: High
ID: 81727
ファイル名: redhat-RHSA-2015-0661.nasl
バージョン: 1.14
タイプ: local
エージェント: unix
公開日: 2015/3/10
更新日: 2021/2/5
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 4.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:qpid-cpp-client, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-client-devel, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-client-devel-docs, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-client-rdma, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-client-ssl, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-debuginfo, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-server, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-server-cluster, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-server-devel, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-server-rdma, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-server-ssl, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-server-store, p-cpe:/a:redhat:enterprise_linux:qpid-cpp-server-xml, cpe:/o:redhat:enterprise_linux:6
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2015/3/9
脆弱性公開日: 2015/2/2
参照情報
CVE: CVE-2015-0203, CVE-2015-0223, CVE-2015-0224
RHSA: 2015:0661