RHEL 6：ipa（RHSA-2015:1462）
medium Nessus プラグイン ID 84953
Language:
概要
リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。説明
2 つのセキュリティ問題といくつかのバグを修正する更新済み ipa パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
Red Hat Identity Management（IdM）は、従来型の環境およびクラウドベースのエンタープライズ環境の両方に対する一元化された認証、 ID 管理、承認のソリューションです。
2 つのクロスサイトスクリプティング（XSS）の欠陥が jQuery で見つかっていて、これが ID 管理 Web 管理インターフェイスに影響を及ぼし、認証されているユーザーが任意の HTML または Web スクリプトをインターフェイスに注入する可能性があります。（CVE-2010-5312、 CVE-2012-6662）
注：現在、この更新で提供される IdM バージョンは jQuery を使用していません。
バグ修正：
* ipa-server-install、ipa-replica-install、ipa-client-install ユーティリティは、 FIPS-140 モードで動作しているマシンではサポートされていません。
以前は、IdM が、これをユーザーに警告していませんでした。現在、IdM は、このユーティリティが FIPS-140 モードで動作することを認めておらず、説明のメッセージを表示します。（BZ#1131571）
* ipa-client-install ユーティリティを実行する際に、アクティブディレクトリ（AD）サーバーが自動的に指定または検出されると、ユーティリティは、IdM サーバーがこの状況で期待されていることをユーザーに知らせるのではなく、トレースバックを生成します。現在、ipa-client-install は、AD サーバーを検出し、説明のメッセージを表示して失敗します。（BZ#1132261）
* IdM サーバーが、httpd サーバーで TLS プロトコルのバージョン 1.1（TLSv1.1）またはそれ以降を必要とするように構成されていたときは、ipa ユーティリティが失敗していました。
この更新で、ipa は TLSv1.1 またはそれ以降で期待通り動作するようになります。
（BZ#1154687）
* 特定の負荷が高い環境で、IdM クライアントインストーラーの Kerberos 認証ステップが失敗する可能性があります。以前は、この状況で、クライアントのインストール全体が失敗していました。この更新は、ipa-client-install を変更して、 UDP プロトコルよりも TCP プロトコルを優先させ、失敗した場合も認証を再試行します。
（BZ#1161722）
* ipa-client-install が /etc/nsswitch.conf ファイルを更新または作成すると、sudo ユーティリティがセグメンテーション違反で予期せず停止する可能性があります。ipa-client-install は、 nsswitch.conf ファイルの最後の行を変更する場合に、このファイルの最後に改行文字を置くことがあります。現在、このバグを修正しています。（BZ#1185207）
* ipa-client-automount ユーティリティは、nsslapd-minssf Red Hat Directory Server の構成パラメーターが｢1｣に設定されていると、｢UNWILLING_TO_PERFORM｣の LDAP エラーで失敗していました。この更新では、 ipa-client-automount を変更して、デフォルトで LDAP 検索に暗号化された接続を使用するため、現在は、 nsslapd-minssf が指定されていても、ユーティリティは正常に完了します。（BZ#1191040）
* 認証局（CA）のインストール後に、IdM サーバーのインストールが失敗した場合、｢ipa-server-install --uninstall｣コマンドは適切なクリーンアップを実行しませんでした。ユーザーが｢ipa-server-install --uninstall｣を発行した後、再度サーバーをインストールしようとしても、インストールは失敗していました。現在、｢ipa-server-install--uninstall｣は、
前述の状況時に CA 関連ファイルを削除するため、ipa-server-install は、前述のエラーメッセージで失敗することはなくなります。（BZ#1198160）
* ipa-client-install を実行すると、｢sss｣が既に設定されていて、ファイルにエントリが存在する場合でも、nsswitch.conf の sudoers 行に｢sss｣エントリが追加されていました。｢sss｣エントリが重複すると、 sudo は応答しなくなります。現在は、nsswitch.conf に既に存在する場合、 ipa-client-install は｢sss｣を追加しません。（BZ#1198339）
* ipa-client-install を実行した後、特定の状況下で、SSH を使用してログインすることができませんでした。現在、ipa-client-install は sshd_config ファイルを壊さなくなり、sshd サービスは期待通りに起動され、上記の場合でも SSH を使用するログインが可能です。（BZ#1201454）
* /usr/share/ipa/05rfc2247.ldif ファイルの dc 属性の定義が間違っており、移行中に、偽造のエラーメッセージが返されていました。属性は修正されましたが、 copy-schema-to-ca.py スクリプトが、Red Hat Enterprise Linux 6.7 で実行されるよりも先に Red Hat Enterprise Linux 6.6 で実行されると、バグが残ります。この問題を回避するには、手動で /usr/share/ipa/schema/05rfc2247.ldif を /etc/dirsrv/slapd-PKI-IPA/schema/ にコピーし、IdM を再起動します。（BZ#1220788）
ipa の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://access.redhat.com/errata/RHSA-2015:1462
プラグインの詳細
深刻度: Medium
ID: 84953
ファイル名: redhat-RHSA-2015-1462.nasl
バージョン: 2.9
タイプ: local
エージェント: unix
公開日: 2015/7/23
更新日: 2021/2/5
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.8
CVSS v2
リスクファクター: Medium
基本値: 4.3
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:ipa-admintools, p-cpe:/a:redhat:enterprise_linux:ipa-client, p-cpe:/a:redhat:enterprise_linux:ipa-debuginfo, p-cpe:/a:redhat:enterprise_linux:ipa-python, p-cpe:/a:redhat:enterprise_linux:ipa-server, p-cpe:/a:redhat:enterprise_linux:ipa-server-selinux, p-cpe:/a:redhat:enterprise_linux:ipa-server-trust-ad, cpe:/o:redhat:enterprise_linux:6
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2015/7/22
脆弱性公開日: 2014/11/24
参照情報
CVE: CVE-2010-5312, CVE-2012-6662
RHSA: 2015:1462