複数のセキュリティ問題および 1 つのバグを修正する更新済みの qpid-cpp パッケージが Red Hat Enterprise Linux 5 用の Red Hat Enterprise MRG Messaging 2.5 に使用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

Qpid パッケージは、Qpid C++ を使用して開発された AMQP クライアントアプリケーションのためのランタイムライブラリとともにオープン AMQP メッセージングプロトコルを使用してメッセージを受信、保存およびルーティングするメッセージブローカーデーモンを提供します。クライアントは、AMQP プロトコルを使用して AMQP メッセージブローカーとメッセージを交換します。

ANONYMOUS メカニズムが許可されない場合に、Qpid デーモン（qpidd）が匿名ユーザーにアクセスを制限しないことが見つかっていました。
(CVE-2015-0223)

複数の欠陥が Qpid デーモン（qpidd）がある種のプロトコルシーケンスを処理する方法で見つかりました。認証されていない攻撃者が、特別に細工されたプロトコルシーケンスを送信できる場合、この欠陥を利用して qpidd をクラッシュさせるおそれがありました。（CVE-2015-0203、 CVE-2015-0224）

Red Hat は、CVE-2015-0203 の問題を報告してくれた Apache Software Foundation に感謝の意を表します。Upstream では、MWR Labs の G. Geshev 氏をオリジナルレポーターと認識しています。

この更新では以下のバグも修正されます。

* この更新以前は、メッセージパージはタイマースレッド上で実行されていたため、大きなパージイベントで、他のすべてのタイマータスクが遅延していました。ハートビートもこのスレッド上のタイマーにより駆動されているため、ハートビートを受信できなくなり、これにより、クライアントがタイムアウトするおそれがありました。この修正で、失効したメッセージパージがタイマースレッドからワーカースレッドに移動されるため、長時間実行されている失効したメッセージパージがハートビートタイマーなどのタイマータスクに影響しなくなります。（BZ#1142833）

Red Hat Enterprise Linux 5 用の Red Hat Enterprise MRG Messaging 2.5 の全ユーザーは、更新済みのパッケージへアップグレードし、これらの問題を修正することが推奨されます。

検出

RHEL 5：qpid-cpp（RHSA-2015:0662）

high Nessus プラグイン ID 81728

バージョン 1.13