389-ds:1.4モジュールの更新プログラムがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を重要と評価しています。詳細な重大度評価を提供する共通脆弱性評価システム（CVSS）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。389 Directory Serverは、LDAPバージョン3（LDAPv3）に準拠しているサーバーです。基本パッケージには、LDAP（Lightweight Directory Access Protocol）サーバー、サーバー管理用のコマンドラインユーティリティが含まれています。次のパッケージが新しいアップストリームバージョンにアップグレードされました：389-ds-base（1.4.1.3）（BZ#1712467）セキュリティ修正プログラム：* 389-ds-base：デリファレンスプラグインを介した読み取り権限チェックのバイパス（CVE-2019-14824）* 389-ds-base：レプリケーションおよびRetro Changelogプラグインがデフォルトで平文パスワードを保管（CVE-2018-10871）* 389-ds-base：セキュリティで保護された接続のハングによるDoS（CVE-2019-3883）* 389-ds-base：verboseモードでdscreateを使用すると情報漏えいが引き起こされます（CVE-2019-10224）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

libreswanの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を低いと評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。libreswanはLinux用のIPsecおよびIKEの実装です。IPsecはインターネットプロトコルセキュリティです。また、強力な暗号を使用して認証および暗号化サービスの両方を提供します。これらのサービスを使用することで、VPN（仮想プライベートネットワーク）のような信頼できないネットワークから安全なトンネルを構築できるようになります。次のパッケージが新しいアップストリームバージョンにアップグレードされました：libreswan（3.29）。（BZ#1738853）セキュリティ修正プログラム：* libreswan：整合性チェックがないことによるIKEv1情報パケットの処理の脆弱性（CVE-2019-10155）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

qt5-qtbaseの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を中程度と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Qtは、アプリケーションを開発するためのソフトウェアツールキットです。qt5-baseパッケージには、Qtでの文字列、xml、ネットワーク処理の基本ツールが含まれています。セキュリティ修正プログラム：* qt5-qtbase：QXmlStreamReaderの二重解放（CVE-2018-15518）* qt5-qtbase：qgifhandlerのQImage割り当てエラー（CVE-2018-19870）* qt5-qtbase：不正な形式のBMPファイルのQBmpHandlerセグメンテーション違反（CVE-2018-19873）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

osinfo-db、osinfo-db-tools、libosinfo、gnome-boxesの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を低いと評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。osinfo-dbパッケージには、オペレーティングシステムおよびハイパーバイザープラットフォームの情報を提供するデータベースがあり、新しい仮想マシンの構成とプロビジョニングの自動化を容易にします。libosinfoパッケージは、仮想化プロビジョニングツールがハイパーバイザーとオペレーティングシステムの組み合わせに最適なデバイス設定を決定できるライブラリを提供します。セキュリティ修正プログラム：* Libosinfo：osinfo-install-script optionはコマンドライン引数を介してパスワードを漏えいします（CVE-2019-13313）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

freeradius:3.0モジュールの更新プログラムがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新プログラムがセキュリティに及ぼす影響の重要度を中程度と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。FreeRADIUSは、高性能で柔軟な構成が可能な無料のRADIUS（Remote Authentication Dial In User Service）サーバーであり、ネットワークでの認証や承認の一元化ができるように設計されています。セキュリティ修正プログラム：* freeradius：安全でないlogrotate構成による権限昇格（CVE-2019-10143）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

gdbの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。GNUデバッガー（GDB）により、ユーザーはC、C++、Fortranなどさまざまなプログラミング言語で書かれたプログラムをデバッグできます。セキュリティ修正プログラム：* libibertyサービス拒否につながるdemangle_template関数のメモリリーク（CVE-2018-20657）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

virt:rhelモジュールの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルベースの仮想マシン（KVM）は、多数のハードウェアプラットフォーム上のLinux向けの完全な仮想化ソリューションです。virt:rhelモジュールには、KVMを使用して仮想マシンを実行するためのユーザー空間コンポーネントを提供するパッケージが含まれています。このパッケージには、仮想化システムを管理し操作するためのAPIも用意されています。セキュリティ修正プログラム：* ntfs-3g：ヒープベースのバッファオーバーフローによるローカルのroot権限昇格（CVE-2019-9755）* QEMU：Slirp：初期化されないstack変数によるtcp_emu()の情報漏えい（CVE-2019-9824）* QEMU：qxl：スパイスリソースの解放中のNULLポインターデリファレンス（CVE-2019-12155）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

edk2の更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を中程度と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。EDK（Embedded Development Kit）は仮想マシンに対するUEFIサポートを可能にするプロジェクトです。このパッケージには、QEMUおよびKVM用のサンプル64ビットUEFIファームウェアが含まれています。セキュリティ修正プログラム：* edk2：破損したBMPによるスタックバッファオーバーフロー（CVE-2018-12181）* edk2：長いファイル名と無効なUDFメディアを使用したPartitionDxeおよびUdfDxeのバッファオーバーフロー（CVE-2019-0160）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

python27:2.7モジュールの更新プログラムがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新プログラムがセキュリティに及ぼす影響の重要度を中程度と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pythonはインタープリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、高レベル動的データタイプ、動的タイプ指定をサポートしています。セキュリティ修正プログラム：* numpy：pickle pythonモジュールのnumpy.load()で渡される細工されたシリアル化オブジェクトにより任意のコードが実行される可能性があります。（CVE-2019-6446）* python：urlopen()に渡されるURLのクエリ部分を介したCRLFインジェクション（CVE-2019-9740）* python：urlopen()に渡されるURLのパス部分を介したCRLFインジェクション（CVE-2019-9947） * python：文書化されていないlocal_fileプロトコルにより、リモートの攻撃者が保護メカニズムをバイパスできる可能性（CVE-2019-9948）* python-urllib3：「\r\n」シーケンスをエンコードしないことによるCRLFインジェクションにより、内部サービスへの攻撃が発生する可能性（CVE-2019-11236）* python-urllib3：エラーが発行されるときの証明書の不適切処理（CVE-2019-11324）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

kernel-rtの更新プログラムがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。kernel-rtパッケージは、リアルタイムLinuxカーネルを提供します。これにより、適切に設定することが要求されるシステムの微調整が可能になります。セキュリティ修正プログラム：* カーネル：nfs：svc_process_common()におけるメモリ解放後使用（Use After Free）（CVE-2018-16884）* カーネル：vhost_net：パケット受信中の無限ループによりDoSが発生（CVE-2019-3900）*カーネル：ページのキャッシュサイドチャネル攻撃（CVE-2019-5489）* hardware：bluetooth：BR/EDR暗号鍵ネゴシエーション攻撃（KNOB）（CVE-2019-9506）*カーネル：drivers/net /wireless/marvell/mwifiex/ie.cのmwifiex_uap_parse_tail_ies function関数におけるヒープオーバーフロー（CVE-2019-10126）*カーネル：KVM：mmioリングバッファ経由のOOBメモリアクセス（CVE-2019-14821）*カーネル：crypto/crypto_user.cのcrypto_report_oneの情報漏えい（CVE-2018-19854）*カーネル：usb：DoSを引き起こす__usb_get_extra_descriptor()でのサイズチェックの欠落（CVE-2018-20169）* カーネル：L2CAP_GET_CONF_OPTの使用中のヒープアドレスの情報漏えい（CVE-2019-3459）* カーネル：L2CAP_PARSE_CONF_RSPの使用中のヒープアドレスの情報漏えい（CVE-2019-3460）* カーネル：サービス拒否につながるSCTPソケットバッファメモリリーク（CVE-2019-3874）* カーネル：vfio DMAマッピングによるサービス拒否ベクトル（CVE-2019-3882）* カーネル：hci_uart_set_flow_controlでのNULLポインターデリファレンス（CVE-2019-10207）* カーネル：mmget_not_zero()/get_task_mm()とコアダンプ間の競合状態を修正（CVE-2019-11599）* カーネル：fs/ext4/extents.cにより情報漏えいが発生（CVE- 2019-11833）* カーネル：HIDPCONNADDコマンドを介したカーネルスタックメモリからの情報漏えい（CVE-2019-11884）* カーネル：arch/x86/lib/insn-eval.cのメモリ解放後使用（use-after-free）（CVE-2019-13233）* カーネル：net/core/net-sysfs.cのregister_queue_kobjects()でのメモリ漏えいがサービス拒否につながる（CVE-2019-15916）* カーネル：drivers/net/usb/hso.cのhso_probeでのoobメモリの読み取り（CVE-2018-19985）* カーネル：KVM：初期化されていないスタックコンテンツのゲストへの漏えい（CVE-2019-7222）* カーネル：net：弱いIP ID生成がリモートデバイスのトラッキングにつながる（CVE-2019-10638）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

phpの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重大と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。PHPは、Apache HTTPサーバーで一般的に使用される、HTMLを組み込んだスクリプト言語です。セキュリティ修正：* php：fpm_main.c内のenv_path_infoのアンダーフロー（CVE-2019-11043）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2019:3286 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - php: fpm_main.c の env_path_info におけるアンダーフロー (CVE-2019-11043)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

firefox用の更新プログラムが、Red Hat Enterprise Linux 6で現在利用可能です。

Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System (CVSS)ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。

Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザです。

この更新プログラムで、Firefoxをバージョン68.2.0 ESRにアップグレードします。

セキュリティ修正プログラム:

* Mozilla：Firefox 70とFirefox ESR 68.2で修正されたメモリ安全性に関するバグ（CVE-2019-11764）

* Mozilla：IndexedDBでインデックス更新を作成するときのメモリ解放後使用（Use After Free）（CVE-2019-11757）

* Mozilla：360 Total Securityによる潜在的に悪用可能なクラッシュ（CVE-2019-11758）

* Mozilla：HKDF出力のスタックバッファオーバーフロー（CVE-2019-11759）

* Mozilla：WebRTCネットワーキングのスタックバッファオーバーフロー（CVE-2019-11760）

* Mozilla：権限のあるJSONViewオブジェクトへの意図しないアクセス（CVE-2019-11761）

* Mozilla：document.domainベースのオリジン分離にある同一オリジンプロパティ違反（CVE-2019-11762）

* Mozilla：不適切なHTML解析によるXSSバイパスの手法 （CVE-2019-11763）

影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

sudoの更新プログラムが、Red Hat Enterprise Linux 7.2 Advanced Update Support、Red Hat Enterprise Linux 7.2 Telco Extended Update Support、Red Hat Enterprise Linux 7.2 Update Services for SAP Solutionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。sudoパッケージには、sudoユーティリティが含まれており、システム管理者はこのユーティリティで、特定のユーザーに対して、rootとしてログインすることなく、システムの管理目的で使用され、権限が必要なコマンドの実行のアクセス許可を与えることができます。セキュリティ修正プログラム：* sudo：「Runas」仕様と「ALL」キーワードによる権限昇格（CVE-2019-14287）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

openshiftの更新プログラムが、Red Hat OpenShift Container Platform 4.1で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。このアドバイザリには、Red Hat OpenShift Container Platform 4.1.21のopenshift RPMパッケージが含まれています。セキュリティ修正プログラム：* kubernetes：「kubectl cp」で、二重のシンボリックリンクにより任意のファイルが書き込まれる（CVE-2019-11251）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Red Hat OpenShift Container Platform 4.1の更新が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。このアドバイザリには、Red Hat OpenShift Container Platform 4.1.21用のansible-operator、apb、containernetworking-plugins、golang-github-openshift-prometheus-alert-buffer、golang-github-prometheus-promu、openshift-eventrouter RPMパッケージが含まれています。以上のパッケージは、以下のセキュリティ問題に対処するため、更新版のGoで再構築されています。セキュリティ修正プログラム：* HTTP/2：PINGフレームを使用したフラッドによる無制限のメモリ増加（CVE-2019-9512）* HTTP/2：HEADERSフレームを使用したフラッドによる無制限のメモリ増加（CVE-2019-9514）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

1つのセキュリティ問題と複数のバグを修正し、さまざまな機能拡張を追加する、更新されたheketiパッケージがOpenShift Container Storage 3.11 Batch 4 Updateで利用できるようになりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Heketiは、GlusterFSボリュームのライフサイクルを管理するために使用できるRESTful管理インターフェイスを提供します。Heketiにより、OpenStack Manila、Kubernetes、OpenShiftなどのクラウドサービスは、サポートされているあらゆる耐久性タイプでGlusterFSボリュームを動的にプロビジョニングできます。Heketiは、クラスタ全体のブリックの場所を自動的に判断し、異なる障害ドメインにブリックとそのレプリカを配置するようにします。Heketiは任意の数のGlusterFSクラスターもサポートしているため、クラウドサービスは単一のGlusterFSクラスターに限定されることなくネットワークファイルストレージを提供できます。次のパッケージが新しいアップストリームバージョンにアップグレードされました：heketi（9.0.0）。（BZ#1710080）セキュリティ修正プログラム：* heketi：安全ではない既定値でheketiをインストールできる（CVE-2019-3899）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正：*以前は、Heketiを安全ではない方法でうっかり設定してしまうことが起こりやすく、Heketiで管理されているストレージの変更を無許可のユーザーに許すリスクを高めていました。既定の設定が変更され、認証設定が必須となり、また、認証を意図せずに無効化することが難しくなりました。（BZ#1701838）*以前は、OpenShift/Kubernetesポッド内でHeketiがコマンドを実行すると、タイムアウトが指定されずにコマンドが実行されました。そのため、コマンドを常にタイムアウト付きで実行するSSH実行とは異なり、一部のコマンドが返ってこなくなりました。今回の更新プログラムで、glusterコンテナーで実行されるコマンドにタイムスタンプが指定されます。使用される接続の種類に関係なく、タイムアウト値は同じです。（BZ# 1636912）*以前は、Heketiで複数のクラスターを管理するとき、一部のクラスターでボリュームの作成に失敗した場合、「容量がありません」という汎用エラーメッセージが返されました。今回の更新プログラムでは、Heketiで複数のglusterクラスターを管理するときに発行されるエラーメッセージが改善されました。Heketiでは、クラスターにノードがないときやいずれのノードにも利用できるデバイスがないとき、特定のエラーが表示されるようになりました。また、クラスターエラーの先頭にクラスターIDを付け、各クラスターのエラーについて報告されます。（BZ#1577803）*以前は、操作のクリーンアップがサーバーから同時に要求されたとき、サーバーでは、同じ操作のクリーンアップが2回開始されました。これがサーバーにパニックを引き起こしました。今回の更新プログラムで、2つの操作クリーンアップが同時に要求されても、サーバーではパニックが起こらなくなりました。（BZ#1702162）機能強化：*Heketiを利用し、glusterの信頼されているストレージプールのノードが削除または追加されるとき、既存のエンドポイントが自動的に更新されません。今回の更新プログラムで、ノードの追加/削除後、エンドポイントを更新するため、ユーザーは次のコマンドを実行できるようになりました：1. heketi-cliボリュームエンドポイントパッチ 2. ocパッチep -p（BZ#1660681）*今回の更新プログラムで、Heketiは、デバイスのパスが変更された場合でも、ディスクデバイスに関連付けられている追加メタデータを追跡できるようになりました。追加メタデータが反映されるように一部のコマンドの出力が更新されました。（BZ#1609553）Heketiのユーザーには、以上の機能強化を追加し、バグを修正する更新後のパッケージにアップグレードすることが推奨されています。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2019:3253 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - samba: パラメーターとアクセス許可の組み合わせを使用すれば、ユーザーは、共有パス定義からエスケープすることができます (CVE-2019-10197)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

apb、containernetworking-plugins、golang-github-prometheus-promuの更新プログラムがRed Hat OpenShift Container Platform 4.2で利用できるようになりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。更新版のgolangでパッケージapb（2.0.3）、containernetworking-plugins（0.8.1）、golang-github-prometheus-promu（0.5.0）が再構築されています。セキュリティ修正プログラム：* HTTP/2：PINGフレームを使用したフラッドによる無制限のメモリ増加（CVE-2019-9512）* HTTP/2：HEADERSフレームを使用したフラッドによる無制限のメモリ増加（CVE-2019-9514）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

atomic-openshiftの更新プログラムが、Red Hat OpenShift Container Platform 3.10で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* kubernetes：YAML解析は「Billion Laughs」攻撃に対して脆弱であり、リモートでのサービス拒否を引き起こす可能性があります（CVE-2019-11253）* kubernetes：CVE-2019-1002101とCVE-2019-11246の不完全な修正、kubectl cpの潜在的ディレクトリ横断（CVE-2019-11249）* kube-apiserver：json-patch型のパッチを細工することによるDoS（CVE-2019-1002100）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

mediawikiの更新プログラムが、Red Hat OpenShift Container Platform 3.10で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* mediawiki： 「user」の$ wgRateLimits（レート制限/ pingリミッター）エントリは「newbie」のエントリに優先されます（CVE-2018-0503）* mediawiki：ログイベントが（部分的に）隠されるとき、情報が開示される（CVE-2018-0504）mediawiki：BotPasswordはCentralAuthのアカウントロックをバイパスする可能性があります（CVE-2018-0505）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

thunderbirdの更新プログラムがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムは、Thunderbirdをバージョン68.2.0にアップグレードします。セキュリティ修正プログラム：* Mozilla：Firefox 70およびFirefox ESR 68.2で修正されたメモリの安全性のバグ（CVE-2019-11764）* Mozilla：IndexedDBでインデックス更新を作成するときのメモリ解放後使用（use-after-free）（CVE-2019-11757）* Mozilla ：360 Total Securityによる潜在的に悪用可能なクラッシュ（CVE-2019-11758）* Mozilla：HKDF出力のスタックバッファオーバーフロー（CVE-2019-11759）* Mozilla：WebRTCネットワーキングのスタックバッファオーバーフロー（CVE-2019-11760）* Mozilla ：権限のあるJSONViewオブジェクトへの意図しないアクセス（CVE-2019-11761）* Mozilla：document.domainベースのオリジン分離に、同一オリジンプロパティ違反（CVE-2019-11762）* Mozilla：不適切なHTML解析によるXSSバイパス手法 （CVE-2019-11763）* expat：細工されたXML入力を介したヒープベースのバッファオーバーリード（CVE-2019-15903）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

pangoの更新プログラムが、Red Hat Enterprise Linux 7.6 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pangoは、国際化を重視した、テキストのレイアウトとレンダリング用のライブラリです。Pangoは、GTK+ウィジェットツールキットのテキストとフォント処理の基幹機能を担います。セキュリティ修正プログラム：* pango：pango_log2vis_get_embedding_levels()のヒープベースのバッファオーバーフロー（CVE-2019-1010238）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

polkitの更新プログラムが、Red Hat Enterprise Linux 7.6 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。polkitパッケージは、システム全体の権限を制御するコンポーネントを提供します。このコンポーネントを使用すると、権限を持たないプロセスが権限を持つプロセスと統一された方法で通信できるようになります。セキュリティ修正プログラム：* polkit：uid > INT_MAXのユーザーの不適切な処理により認証バイパスが発生（CVE-2018-19788）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

kpatch-patchの更新プログラムが、Red Hat Enterprise Linux 7.6 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。これはカーネルのライブパッチモジュールで、RPMインストール後スクリプトによって自動的にロードされ、実行中のカーネルのコードを変更します。セキュリティ修正プログラム：* hardware：bluetooth：BR/EDR暗号鍵ネゴシエーション攻撃（KNOB）（CVE-2019-9506）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

jssの更新プログラムが、Red Hat Enterprise Linux 7.6 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Java Security Services（JSS）は、Java仮想マシンとNetwork Security Services（NSS）間のインターフェイスを提供します。SSL/TLSネットワークプロトコル経由の通信など、NSSがサポートするセキュリティ標準と暗号化技術のほとんどをサポートしています。JSSは、Identity Management Systemの一部として、主に証明書サーバーが利用します。セキュリティ修正プログラム：* JSS：OCSPポリシー「Leaf and Chain」は暗黙的にルート証明書を信頼します（CVE-2019-14823）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

systemdの更新プログラムが、Red Hat Enterprise Linux 7.6 Extended Update Supportで利用可能になりました。

Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。

systemdパッケージには、Linuxのシステムおよびサービスのマネージャーであるsystemdが含まれます。このsystemdはSysVおよびLSB initスクリプトと互換性があります。これは積極的な並列化機能を提供し、起動サービスにソケットとD-Busの有効化を使用し、デーモンのオンデマンド起動を提供し、Linux cgroupsを使用したプロセスを記録します。また、システム状態のスナップショットと復元をサポートし、マウントポイントと自動マウントポイントを維持し、複雑なトランザクション依存ベースのサービス制御ロジックを実装します。これはsysvinitの完全な互換品としても機能します。

セキュリティ修正プログラム:

* systemd: fgets()を介した行分割により、daemon-reexec中に状態インジェクションが発生する可能性があります（CVE-2018-15686）

* systemd: 細工されたsyslogメッセージの解析時の領域外読み取り（CVE-2018-16866）

影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

バグ修正プログラム：

*下に子スライスがあるスライスが停止されると、層になっているスライスが「デッド」状態になる（BZ#1729227）

カーネルの更新プログラムが、Red Hat Enterprise Linux 7.6 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重大度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：*カーネル：vhost_net：パケット受信中の無限ループがDoSにつながる（CVE-2019-3900）* hardware：bluetooth：BR/EDR暗号鍵ネゴシエーション攻撃（KNOB）（CVE-2019-9506）*カーネル：hw: Spectre SWAPGS ガジェット脆弱性（CVE-2019-1125）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正：* [mlx4] VXLAN over VLAN TCPの分断（BZ#1734325）*同期がないことで/dev/sgで競合状態が発生し、RHVが壊れる（BZ#1737378）*[FJ7.6 Bug]： [REG]カーネル：ipc：ipc_freeでkvfreeを使う必要がある（BZ#1740177）*高いupdate_cfs_rq_blocked_load競合（BZ#1740179）* kvm：バックポートcpuidle-haltpollドライバー（BZ#1740191）*再要求できないスラブメモリが増える（BZ#1741919）*[Hyper-V]vCPUが240個を超えるHyper-VでvPCIデバイスがIRQベクトルを割り当てられない（すなわち、x2APICモードで）（BZ#1743323）*NFSv4.0クライアントが二重のCLOSEを送信する（EIOアプリケーションエラーにつながる）（BZ#1744945）*powerpc/pseries：移行時に初期化されないタイマーリセットの修正/powerpc/pseries /mobility：開始/停止トポロジー更新範囲の拡大（LPM）（BZ#1745441）*ISST-LTE：PVM：Zeppelin：LPM：LPM中にエラーログとスタックトレースが見られる（POWER9/P9）（BZ#1745448）*[LLNL 7.5バグ]kmemコントロールグループの使用時、スラブリークがクラッシュを引き起こす（BZ# 1748237）*[Azure] CRI-RDOS | [RHEL 7.8]ライブ移行は10秒で完了するが、VMが2時間利用できなかった（BZ#1748238）*ボンディングイベントをサポートする目的で、アクティブバックアップモードで正しく動作することをmacvlanに許可する（BZ#1749291）*EFIコードのアトミックバグ中、デバッグカーネルからスケジューリングが報告される（BZ#1755324）

sudoの更新プログラムが、Red Hat Enterprise Linux 7.3 Advanced Update Support、Red Hat Enterprise Linux 7.3 Telco Extended Update Support、Red Hat Enterprise Linux 7.3 Update Services for SAP Solutionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。sudoパッケージには、sudoユーティリティが含まれており、システム管理者はこのユーティリティで、特定のユーザーに対して、rootとしてログインすることなく、システムの管理目的で使用され、権限が必要なコマンドの実行のアクセス許可を与えることができます。セキュリティ修正プログラム：* sudo：「Runas」仕様と「ALL」キーワードによる権限昇格（CVE-2019-14287）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

カーネルの更新プログラムが、Red Hat Enterprise Linux 7.3 Advanced Update Support、Red Hat Enterprise Linux 7.3 Telco Extended Update Support、Red Hat Enterprise Linux 7.3 Update Services for SAP Solutionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重大度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：* hardware：bluetooth：BR/EDR暗号鍵ネゴシエーション攻撃（KNOB）（CVE-2019-9506）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正：*カーネルビルド：redhat/mod-sign.shの並列化（BZ#1755326）

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2019: 3217 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - kernel: MIDIドライバーの競合状態による二重解放（CVE-2018-10902）

  - kernel: block/blk-core.cの__blk_drain_queue()関数におけるメモリ解放後使用（Use After Free）（CVE-2018-20856）

  - kernel: DoSを引き起こすdrivers/scsi/megaraid/megaraid_sas_base.c の NULL ポインターデリファレンス（CVE-2019-11810）

  - kernel: brcmf_wowl_nd_results の brcmfmac ヒープバッファオーバーフロー（CVE-2019-9500）

  - ハードウェア：Bluetooth: BR/EDR暗号鍵ネゴシエーション攻撃（KNOB）（CVE-2019-9506）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

chromium-browserの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Chromiumは、WebKit（Blink）で稼働するオープンソースのWebブラウザーです。この更新プログラムは、Chromiumをバージョン77.0.3865.120にアップグレードします。セキュリティ修正プログラム： * chromium-browser：メディアのメモリ解放後使用（use-after-free）（CVE-2019-5870）* chromium-browser：Skiaのヒープオーバーフロー（CVE-2019-5871）* chromium-browser：Mojoのメモリ解放後使用（use-after-free）（CVE-2019-5872）* chromium-browser：外部URIで他のブラウザーが起動（CVE-2019-5874）* chromium-browser：ダウンロードリダイレクトによるURLバーのなりすまし（CVE-2019-5875）* chromium-browser：メディアのメモリ解放後使用（use-after-free）（CVE-2019-5876）* chromium-browser：V8の境界外アクセス（CVE-2019-5877）* chromium-browser：V8のメモリ解放後使用（use-after-free）（CVE-2019-5878）* chromium-browser：オフラインページのメモリ解放後使用（use-after-free）（CVE-2019-13686）* chromium-browser： メディアのメモリ解放後使用（use-after-free）（CVE-2019-13688）* chromium-browser：Omniboxのなりすまし（CVE-2019-13691）* chromium-browser：SOPバイパス（CVE-2019-13692） * chromium-browser：IndexedDBのメモリ解放後使用（use-after-free）（CVE-2019-13693）* chromium-browser：WebRTCのメモリ解放後使用（use-after-free）（CVE-2019-13694）* chromium-browser：オーディオのメモリ解放後使用（use-after-free）（CVE-2019-13695）* chromium-browser：V8のメモリ解放後使用（use-after-free）（CVE-2019-13696）* chromium-browser：オリジン間のサイズリーク（CVE-2019-13697）* chromium-browser：拡張機能によるローカルファイル読み取りの可能性（CVE-2019-5879）* chromium-browser：SameSite cookieバイパス（CVE-2019-5880）* chromium-browser：SwiftShaderの任意読み取り（CVE-2019-5881）* chromium-browser：URLなりすまし（CVE-2019-13659）* chromium-browser：全画面通知の重なり（CVE-2019-13660）* chromium-browser：全画面通知のなりすまし（CVE-2019-13661）* chromium-browser：CSPバイパス（CVE-2019-13662）* chromium-browser：IDNなりすまし（CVE-2019-13663）* chromium-browser：CSRFバイパス（CVE-2019-13664）* chromium-browser：複数ファイルダウンロード保護のバイパス（CVE-2019-13665）* chromium-browser：ストレージサイズ見積もりを利用したサイドチャンネル（CVE-2019-13666）* chromium-browser：外部アプリURI使用時のURIバーのなりすまし（CVE-2019-13667）* chromium-browser：コンソール経由のグローバルウィンドウリーク（CVE-2019-13668）* chromium-browser：HTTP認証のなりすまし（CVE-2019-13669）* chromium-browser：regexのV8メモリ破損（CVE-2019-13670）* chromium-browser：ダイアログボックスに出所が表示されない（CVE-2019-13671）* chromium-browser：devtoolsを使用したオリジン間の情報漏えい（CVE-2019-13673）* chromium-browser：IDNなりすまし（CVE-2019-13674）* chromium-browser：スラッシュを末尾に付けると拡張機能が無効になる（CVE-2019-13675）* chromium-browser：証明書警告にGoogle URIが表示される（CVE-2019-13676）* chromium-browser：Chrome Webストアの出所を隔離する必要がある（CVE-2019-13677）* chromium-browser：ダウンロードダイアログのなりすまし（CVE-2019-13678）* chromium-browser：印刷にユーザーのジェスチャが必要（CVE-2019-13679）* chromium-browser：サーバーに対するIPアドレスなりすまし（CVE-2019-13680）* chromium-browser：ダウンロード制限のバイパス（CVE-2019-13681）* chromium-browser：サイト隔離バイパス（CVE-2019-13682）影響、CVSSスコア、謝辞、その他の関連情報など、セキュリティ問題に関する詳細については、「参照」セクションに記載されているCVEのページを参照してください。

thunderbirdの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムは、Thunderbirdをバージョン68.2.0にアップグレードします。セキュリティ修正プログラム：* Mozilla：Firefox 70およびFirefox ESR 68.2で修正されたメモリの安全性のバグ（CVE-2019-11764）* Mozilla：IndexedDBでインデックス更新を作成するときのメモリ解放後使用（use-after-free）（CVE-2019-11757）* Mozilla ：360 Total Securityによる潜在的に悪用可能なクラッシュ（CVE-2019-11758）* Mozilla：HKDF出力のスタックバッファオーバーフロー（CVE-2019-11759）* Mozilla：WebRTCネットワーキングのスタックバッファオーバーフロー（CVE-2019-11760）* Mozilla ：権限のあるJSONViewオブジェクトへの意図しないアクセス（CVE-2019-11761）* Mozilla：document.domainベースのオリジン分離に、同一オリジンプロパティ違反（CVE-2019-11762）* Mozilla：不適切なHTML解析によるXSSバイパス手法 （CVE-2019-11763）* expat：細工されたXML入力を介したヒープベースのバッファオーバーリード（CVE-2019-15903）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

sudoの更新プログラムが、Red Hat Enterprise Linux 7.4 Advanced Update Support、Red Hat Enterprise Linux 7.4 Telco Extended Update Support、Red Hat Enterprise Linux 7.4 Update Services for SAP Solutionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。sudoパッケージには、sudoユーティリティが含まれており、システム管理者はこのユーティリティで、特定のユーザーに対して、rootとしてログインすることなく、システムの管理目的で使用され、権限が必要なコマンドの実行のアクセス許可を与えることができます。セキュリティ修正プログラム：* sudo：「Runas」仕様と「ALL」キーワードによる権限昇格（CVE-2019-14287）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

更新プログラムがAnsible Engine 2.8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。次のパッケージが新しいUpstreamバージョンにアップグレードされました：ansible（2.8.6）バグ修正：* ansible：CVE-2019-10206（CVE-2019-14856）の不完全な修正プログラム * ansible：no_logの印が付いているsubパラメーターは特定のエラーシナリオでマスクされません（CVE-2019-14858）* ansible：no_logが有効になっているとき、ログで秘密が開示される（CVE-2019-14846）参照：今回のリリースのバグ修正に関する詳細については、https://github.com/ansible/ansible/blob/v2.8.6/changelogs/CHANGELOG-v2 .8.rst

更新プログラムがAnsible Engine 2.7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。次のパッケージが新しいUpstreamバージョンにアップグレードされました：ansible（2.7.14）バグ修正：* ansible：CVE-2019-10206（CVE-2019-14856）の不完全な修正プログラム * ansible：no_logの印が付いているsubパラメーターは特定のエラーシナリオでマスクされません（CVE-2019-14858）* ansible：no_logが有効になっているとき、ログで秘密が開示される（CVE-2019-14846）今回のリリースのバグ修正に関する詳細については、「https://github.com/ansible/ansible/blob/v2.7.14/changelogs/CHANGELOG-v 2.7.rst」を参照してください。

更新プログラムがAnsible Engine 2.6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。次のパッケージが新しいUpstreamバージョンにアップグレードされました：ansible（2.6.20）バグ修正：* ansible：CVE-2019-10206（CVE-2019-14856）の不完全な修正プログラム * ansible：no_logの印が付いているsubパラメーターは特定のエラーシナリオでマスクされません（CVE-2019-14858）* ansible：no_logが有効になっているとき、ログで秘密が開示される（CVE-2019-14846）今回のリリースのバグ修正に関する詳細については、「https://github.com/ansible/ansible/blob/v2.6.20/changelogs/ CHANGELOG-v2.6.rst」を参照してください。

sudoの更新プログラムが、Red Hat Enterprise Linux 7.6 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。sudoパッケージには、sudoユーティリティが含まれており、システム管理者はこのユーティリティで、特定のユーザーに対して、rootとしてログインすることなく、システムの管理目的で使用され、権限が必要なコマンドの実行のアクセス許可を与えることができます。セキュリティ修正プログラム：* sudo：「Runas」仕様と「ALL」キーワードによる権限昇格（CVE-2019-14287）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

sudoの更新プログラムが、Red Hat Enterprise Linux 7.5 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。sudoパッケージには、sudoユーティリティが含まれており、システム管理者はこのユーティリティで、特定のユーザーに対して、rootとしてログインすることなく、システムの管理目的で使用され、権限が必要なコマンドの実行のアクセス許可を与えることができます。セキュリティ修正プログラム：* sudo：「Runas」仕様と「ALL」キーワードによる権限昇格（CVE-2019-14287）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

sudoの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。sudoパッケージには、sudoユーティリティが含まれており、システム管理者はこのユーティリティで、特定のユーザーに対して、rootとしてログインすることなく、システムの管理目的で使用され、権限が必要なコマンドの実行のアクセス許可を与えることができます。セキュリティ修正プログラム：* sudo：「Runas」仕様と「ALL」キーワードによる権限昇格（CVE-2019-14287）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

firefox用の更新プログラムが、Red Hat Enterprise Linux 8で現在利用可能です。

Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System (CVSS)ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。

Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザです。

この更新プログラムで、Firefoxをバージョン68.2.0 ESRにアップグレードします。

セキュリティ修正プログラム:

* Mozilla：Firefox 70とFirefox ESR 68.2で修正されたメモリ安全性に関するバグ（CVE-2019-11764）

* Mozilla：IndexedDBでインデックス更新を作成するときのメモリ解放後使用（Use After Free）（CVE-2019-11757）

* Mozilla：360 Total Securityによる潜在的に悪用可能なクラッシュ（CVE-2019-11758）

* Mozilla：HKDF出力のスタックバッファオーバーフロー（CVE-2019-11759）

* Mozilla：WebRTCネットワーキングのスタックバッファオーバーフロー（CVE-2019-11760）

* Mozilla：権限のあるJSONViewオブジェクトへの意図しないアクセス（CVE-2019-11761）

* Mozilla：document.domainベースのオリジン分離にある同一オリジンプロパティ違反（CVE-2019-11762）

* Mozilla：不適切なHTML解析によるXSSバイパスの手法 （CVE-2019-11763）

影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

firefox用の更新プログラムが、Red Hat Enterprise Linux 7で現在利用可能です。

Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度緊急と評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System (CVSS)ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。

Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザです。

この更新プログラムで、Firefoxをバージョン68.2.0 ESRにアップグレードします。

セキュリティ修正プログラム:

* Mozilla：Firefox 70とFirefox ESR 68.2で修正されたメモリ安全性に関するバグ（CVE-2019-11764）

* Mozilla：IndexedDBでインデックス更新を作成するときのメモリ解放後使用（Use After Free）（CVE-2019-11757）

* Mozilla：360 Total Securityによる潜在的に悪用可能なクラッシュ（CVE-2019-11758）

* Mozilla：HKDF出力のスタックバッファオーバーフロー（CVE-2019-11759）

* Mozilla：WebRTCネットワーキングのスタックバッファオーバーフロー（CVE-2019-11760）

* Mozilla：権限のあるJSONViewオブジェクトへの意図しないアクセス（CVE-2019-11761）

* Mozilla：document.domainベースのオリジン分離にある同一オリジンプロパティ違反（CVE-2019-11762）

* Mozilla：不適切なHTML解析によるXSSバイパスの手法 （CVE-2019-11763）

影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

カーネルの更新プログラムが、Red Hat Enterprise Linux 7.4 Advanced Update Support、Red Hat Enterprise Linux 7.4 Telco Extended Update Support、Red Hat Enterprise Linux 7.4 Update Services for SAP Solutionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：* hardware：bluetooth：BR/EDR暗号鍵ネゴシエーション攻撃（KNOB）（CVE-2019-9506）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：* ワイヤレスコードで発生する可能性のあるSpectre-v1バグを修正（BZ#1706696）* powerpc/pserie：マイグレーション間でCPUホットプラグを無効にします / powerpc/rtas：CPU-OfflineとMigrationの間の潜在的な競合状態を修正（LPM）（BZ#1745436）* powerpc/pseries：マイグレーション時の初期化されていないタイマーリセットを修正 / powerpc/pseries/mobility：開始/停止のトポロジー更新スコープを拡張（LPM）（BZ#1745438）* ISST-LTE：PVM：Zeppelin：LPM：LPM中に見られるエラーログおよびスタックトレース（POWER9/P9）（BZ#1745446）

qemu-kvm-rhevの更新プログラムが、Red Hat Enterprise Linux 7のRed Hat Virtualization 4およびRed Hat Virtualization Engine 4.3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。KVM（カーネルベース仮想マシン）は、さまざまなアーキテクチャのLinux向けの完全な仮想化ソリューションです。qemu-kvm-rhevパッケージは、Red Hat製品が管理する環境において、KVMを使用する仮想マシンを実行するユーザー空間コンポーネントを提供します。セキュリティ修正プログラム：* QEMU：slirp：パケットの再構築中のヒープバッファオーバーフロー（CVE-2019-14378）* QEMU：qxl：スパイスリソースの解放中のNULLポインターデリファレンス（CVE-2019-12155）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：* ccid：T=0の不正なdwProtocolアドバタイズメントを修正（BZ#1729880）* libvirtからのresume/cont呼び出しでQEMUがスタックする（BZ#1741937）* [v2v] マイグレーションのパフォーマンス回帰（BZ#1743322） * qemu、qemu-imgは4kブロックデバイス上のXFSおよびGluster / XFSとのアライメントを検出できません（BZ#1745443）* qemu-kvm：バックポートcpuidle-haltpollサポート（BZ#1746282）* qemuはblockCommit:qemu-kvm:block:3486で中断します（BZ#1750322）

リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2019: 3172のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  -python-werkzeug：debug/tbtools.pyのrender_full関数におけるクロスサイトスクリプティング（CVE-2016-10516）

  - python-jinja2：str.formatを介した情報漏えいによるサンドボックスエスケープ（CVE-2016-10745）

  - dom4j：Class:ElementにおけるXMLインジェクション。XMLドキュメントの整合性に影響する可能性のあるMethods:addElementとaddAttribute（CVE-2018-1000632）

  - rubygem-rack：マルチパートパーサーのバッファサイズにより、サービス拒否を引き起こす可能性がある（CVE-2018-16470）

  - foreman: 情報漏洩を引き起こすforemanタスクの認可バイパス（CVE-2019-10198）

  - python-jinja2：str.format_mapによりサンドボックスエスケープが可能になります（CVE-2019-10906）

  - python-twisted: URIメソッドとHTTPメソッドにおけるCRLF文字の不適切な中立化（CVE-2019-12387）

  - katello：リポジトリ検出中に、レジストリ認証情報が平文でキャプチャされる（CVE-2019-14825）

  - foreman: 計算リソースの平文パスワードまたはトークンの復元（CVE-2019-3893）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

kernel-rtの更新プログラムが、Red Hat Enterprise MRG 2で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。kernel-rtパッケージは、リアルタイムLinuxカーネルを提供します。これにより、適切に設定することが要求されるシステムの微調整が可能になります。セキュリティ修正プログラム：* hardware：bluetooth：BR/EDR暗号鍵ネゴシエーション攻撃（KNOB）（CVE-2019-9506）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：* MRG 2.5.z 3.10 realtime-kernelソースを更新（BZ#1751263）

Red Hat OpenShift Container Platform 3.9のセキュリティ更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。このアドバイザリには、golangの更新バージョンで再構築された、Red Hat OpenShift Container Platform 3.9のRPMパッケージが含まれています。セキュリティ修正プログラム：* HTTP/2：PINGフレームを使用したフラッドによる無制限のメモリ増加（CVE-2019-9512）* HTTP/2：HEADERSフレームを使用したフラッドによる無制限のメモリ増加（CVE-2019-9514）* kubernetes：APIサーバーが、リソースが名前空間であるかのようにクラスター用のカスタムリソースへのアクセスを許可（CVE-2019-11247）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

pythonの更新プログラムが、Red Hat Enterprise Linux 7.4 Advanced Update Support、Red Hat Enterprise Linux 7.4 Telco Extended Update Support、Red Hat Enterprise Linux 7.4 Update Services for SAP Solutionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Pythonはインタープリター型、インタラクティブ、オブジェクト指向のプログラミング言語であり、モジュール、クラス、例外、非常に高レベルの動的データタイプ、動的タイプ指定を含みます。Pythonは、多数のシステムコールやライブラリ、さまざまなウィンドウシステムのインターフェイスをサポートしています。セキュリティ修正プログラム：* python：urlsplitの不適切なNFKC正規化による情報漏えい（CVE-2019-9636）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

wgetの更新プログラムが、Red Hat Enterprise Linux 7.4 Advanced Update Support、Red Hat Enterprise Linux 7.4 Telco Extended Update Support、Red Hat Enterprise Linux 7.4 Update Services for SAP Solutionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。wgetパッケージには、HTTP、HTTPS、FTPのプロトコル用のGNU Wgetファイル取得ユーティリティが含まれます。セキュリティ修正プログラム：* wget: do_conversion()ヒープベースのバッファオーバーフローの脆弱性（CVE-2019-5953）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：* OpenJDK：Jar URLハンドラーにおけるネストされたjar：URLの不適切な処理（Networking、8223892）（CVE-2019-2978 ）* OpenJDK：HttpURLConnectionにおけるHTTPプロキシ応答の不適切な処理（ネットワーク、8225298）（CVE-2019-2989）* OpenJDK：カスタムSocketImplの使用に関する制限がない（ネットワーク、8218573）（CVE-2019-2945）* OpenJDK：DrawGlyphListにおけるNULLポインターデリファレンス（2D、8222690）（CVE-2019-2962）* OpenJDK：細工された式を処理するパターンによりスローされる予期しない例外（同時実行、8222684）（CVE-2019-2964）* OpenJDK：細工されたXPath式を処理するXPathParserによりスローされる予期しない例外（JAXP、8223505）（CVE-2019-2973）* OpenJDK：作成されたXPath式を処理するPathによりスローされる予期しない例外（JAXP、8224532）（CVE-2019-2981）* OpenJDK：Fontオブジェクトのデシリアライズ中にスローされる予期しない例外（シリアル化、8224915）（CVE-2019-2983）* OpenJDK：FreetypeFontScalerにおけるglyphビットマップイメージの次元チェックがありません（2D、8225286）（CVE-2019-2987）* OpenJDK：SunGraphics2Dにおける境界チェックの整数オーバーフロー（2D、8225292）（CVE-2019-2988）* OpenJDK：読み取り時のCMapにおける過剰なメモリ割り当てTrueTypeフォント（2D、8225597）（CVE-2019-2992）* OpenJDK：JavadocのHTMLイベント属性のフィルタリングが不十分です（Javadoc、8226765）（CVE-2019-2999）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については「参照」セクションに記載されているCVEのページを参照してください。

ID	名前	深刻度
130535	RHEL 8：389-ds:1.4（RHSA-2019:3401）	high
130534	RHEL 8：libreswan（RHSA-2019:3391）	high
130533	RHEL 8：qt5-qtbase（RHSA-2019:3390）	critical
130532	RHEL 8：osinfo-db and libosinfo（RHSA-2019:3387）	high
130531	RHEL 8：freeradius:3.0（RHSA-2019:3353）	high
130530	RHEL 8：gdb（RHSA-2019:3352）	high
130529	RHEL 8：virt:rhel（RHSA-2019:3345）	high
130528	RHEL 8：edk2（RHSA-2019:3338）	critical
130527	RHEL 8：python27:2.7（RHSA-2019:3335）	critical
130526	RHEL 8：kernel-rt（RHSA-2019:3309）	critical
130446	RHEL 6：php（RHSA-2019:3287）	critical
130445	RHEL 7：php（RHSA-2019:3286）	critical
130444	RHEL 6：firefox（RHSA-2019：3281）	high
130443	RHEL 7：sudo（RHSA-2019:3278）	high
130419	RHEL 7/8：OpenShift Container Platform 4.1 openshift（RHSA-2019:3266）	medium
130418	RHEL 7：OpenShift Container Platform 4.1（RHSA-2019:3265）（Pingフラッド）（リセットフラッド）	high
130417	RHEL 7：heketi（RHSA-2019:3255）	critical
130416	RHEL 7：samba（RHSA-2019:3253）	critical
130385	RHEL 7：OpenShift Container Platform 4.2（RHSA-2019:3245）（Pingフラッド）（リセットフラッド）	high
130384	RHEL 7：OpenShift Container Platform 3.10 atomic-openshift（RHSA-2019:3239）	medium
130383	RHEL 7：OpenShift Container Platform 3.10 mediawiki（RHSA-2019:3238）	medium
130382	RHEL 8：thunderbird（RHSA-2019:3237）	high
130381	RHEL 7：pango（RHSA-2019:3234）	critical
130380	RHEL 7：polkit（RHSA-2019:3232）	high
130379	RHEL 7：kpatch-patch（RHSA-2019:3231）	high
130378	RHEL 7：jss（RHSA-2019:3225）	high
130377	RHEL 7：systemd (RHSA-2019：3222）	high
130376	RHEL 7：kernel（RHSA-2019:3220）	high
130375	RHEL 7：sudo（RHSA-2019:3219）	high
130374	RHEL 7：kernel（RHSA-2019:3218）	high
130373	RHEL 7: kernel-alt (RHSA-2019: 3217)	high
130372	RHEL 6：chromium-browser（RHSA-2019:3211）	critical
130371	RHEL 7：thunderbird（RHSA-2019:3210）	high
130354	RHEL 7：sudo（RHSA-2019:3209）	high
130332	RHEL 7/8：Ansible（RHSA-2019:3203）	high
130331	RHEL 7：Ansible（RHSA-2019:3202）	high
130330	RHEL 7：Ansible（RHSA-2019:3201）	high
130251	RHEL 7：sudo（RHSA-2019:3205）	high
130250	RHEL 7：sudo（RHSA-2019:3204）	high
130249	RHEL 7：sudo（RHSA-2019:3197）	high
130248	RHEL 8：firefox（RHSA-2019：3196）	high
130190	RHEL 7：firefox（RHSA-2019：3193）	high
130189	RHEL 7：kernel（RHSA-2019:3187）	high
130188	RHEL 7：Virtualization Manager（RHSA-2019:3179）	high
130187	RHEL 7：Red Hat Satellite 6（RHSA-2019: 3172）	high
130186	RHEL 6：MRG（RHSA-2019:3165）	high
130185	RHEL 7：OpenShift Container Platform 3.9（RHSA-2019:2769）（Pingフラッド）（リセットフラッド）	high
130155	RHEL 7：python（RHSA-2019:3170）	critical
130154	RHEL 7：wget（RHSA-2019:3168）	critical
130141	RHEL 6：java-1.7.0-openjdk（RHSA-2019:3158）	medium

検出

Nessus 用の Red Hat Local Security Checks ファミリー

high

high

critical

high

high

high

high

critical

critical

critical

critical

critical

high

high

medium

high

critical

critical

high

medium

medium

high

critical

high

high

high

high

high

high

high

high

critical

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

critical

critical

medium