RHEL 7：ansibleおよびgdeploy（RHSA-2017：0260）
high Nessus プラグイン ID 97062
Language:
概要
リモートのRed Hatホストに1つ以上のセキュリティ更新プログラムがありません。説明
ansibleとgdeployの更新プログラムが、Red Hat Gluster Storage 3.1 for RHEL 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、単純なモデル駆動の構成管理、マルチノード展開、およびリモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。gdeployパッケージは、GluterFSをセットアップして構成するAnsibleモジュールを提供します。セキュリティ修正プログラム：* クライアントシステムから送信されたデータをAnsibleが処理する過程に、入力検証の脆弱性が見つかりました。クライアントシステムを制御する攻撃者は、Ansibleによって管理されているため、事実をAnsibleサーバーに送り返す機能はこの欠陥を使用して、Ansibleサーバー権限を使用することでAnsibleサーバー上で任意のコードを実行する可能性があります。（CVE-2016-9587）バグ修正プログラム：* 以前は、SELinux Policy Managementツールがインストールされていなかった場合、gdeployはエラーを表示しませんでした。そのため、SELinuxのコンテキストは設定されていませんでした。この更新プログラムでは、SELinux Policy Managementツールがマシンにインストールされていない場合、gdeployがエラーをthrowします。（BZ#1340038）* この更新プログラムでは、glusterfsサービスのSlice Unit構成機能が導入され、特定のメモリ、CPUの制限内でプロセスを妨げるための階層を構成します。この機能により、Red Hat Gluster Storageのシステムユニットが指定されたSlice内で起動します。Sliceを設定するには、slice_setup=yesのパラメーターを構成ファイルに追加します。（BZ#1349790）ソリューション
影響を受けるansibleパッケージ、gdeployパッケージ、python2-passlibパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 97062
ファイル名: redhat-RHSA-2017-0260.nasl
バージョン: 3.9
タイプ: local
エージェント: unix
公開日: 2017/2/8
更新日: 2019/10/24
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
基本値: 9.3
現状値: 7.3
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS v3
リスクファクター: High
基本値: 8.1
現状値: 7.3
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:ansible, p-cpe:/a:redhat:enterprise_linux:gdeploy, p-cpe:/a:redhat:enterprise_linux:python2-passlib, cpe:/o:redhat:enterprise_linux:7
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2017/2/7
脆弱性公開日: 2018/4/24
参照情報
CVE: CVE-2016-9587
RHSA: 2017:0260