Red Hat セキュリティアドバイザリ 2015:1347 から：

1 つのセキュリティ問題およびいくつかのバグを修正する、更新済み pki-core パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Certificate System は、エンタープライズ公開鍵基盤（PKI）の導入を管理するために設計されたエンタープライズソフトウェアシステムです。PKI Core には、認証局（CA）サブシステムから成る、Red Hat Certificate System が必要とする基本パッケージが含まれています。

Red Hat Certificate System Agent および End Entity ページにおいて、多数のクロスサイトスクリプティングの欠陥が検出されました。攻撃者がこれらの欠陥を利用して、証明書システムの Web インターフェイスを使用している被害者に対して、クロスサイトスクリプティング（XSS）攻撃を行う可能性があります。(CVE-2012-2662)

この更新は以下のバグも修正します：

* 以前は、389-ds-base パッケージと通信するために、pki-core は SSL バージョン 3 （SSLv3）のプロトコルレンジを必要としていました。ただし、 389-ds-base に対する最近の変更で、デフォルトでの SSLv3 の使用が無効となり、 TLS プロトコルなどのセキュアなプロトコルによってサポートされるプロトコルレンジの使用が強制されるようになっています。その結果、Identity Management（IdM）サーバーのインストール中に、 CA のインストールが失敗します。この更新は、 TLS 関連パラメーターを CA の server.xml ファイルに追加してこの問題を修正し、現在、ipa-server-install コマンドを実行すると期待通りに CA がインストールされます。（BZ#1171848）

* 以前は、OpenJDK バージョン 1.8.0 をインストールしたシステムで、スタンドアロンの CA を設定しようとすると、ipa-server-install スクリプトが失敗していました。pki-core のビルドやランタイムの依存関係が、スタンドアロンの CA の構成で OpenJDK バージョン 1.7.0 を使用するように変更されました。結果として、ipa-server-install はこの状況で失敗しなくなりました。（BZ#1212557）

* CA サービスを実行している Red Hat Enterprise Linux 6 のレプリカから、Red Hat Enterprise Linux 7 のレプリカを作成すると、初期の Red Hat Enterprise Linux 6 CA マスターが削除された IdM 展開で失敗することがあります。Red Hat Enterprise Linux 6 から Red Hat Enterprise Linux 7 への移行などの一部の状況では、これが原因で問題が発生することがあります。このバグが発生したのは、初期 CA サーバーのインストール中に作成された、サブシステムユーザーが、初期マスターとともに削除された、以前のバージョンの IdM での問題が原因でした。
この更新は、前述の状況でサブシステムユーザーを復元する、 restore-subsystem-user.py スクリプトを追加し、管理者がこのシナリオで Red Hat Enterprise Linux 7 レプリカを作成できるようにします。（BZ#1225589）

* いくつかの Java インポートステートメントが、ワイルドカード引数を指定します。ただし、 Red Hat Enterprise Linux 6 のメンテナンスブランチに含まれているソースコードのインポートステートメントでのワイルドカード引数の使用のため、名前空間の衝突から正しくないクラスが使用される可能性があります。その結果、Token Processing System（TPS）の再構築テストが、エラーメッセージで失敗していました。この更新は、すべての影響を受けるエリアで完全に名前付きのクラスを提供することでこのバグを修正し、TPS の再構築テストは失敗しなくなります。（BZ#1144188）

* 以前は、pki-core が、TPS のリビルドテスト中の CMake ビルドシステムのリベースバージョンのビルドで失敗していました。pki-core ビルドファイルが更新されて、 CMake のリベースバージョンに適合するようになりました。
結果として、pki-core ビルドは、前述のシナリオで成功します。
（BZ#1144608）

pki-core のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

複数のセキュリティ問題を修正し、1 つの拡張機能を追加する更新済みの pki-common、pki-tps、および pki-util パッケージが、Red Hat Certificate System 8.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Certificate System は、エンタープライズ公開鍵インフラストラクチャ（PKI）の導入を管理するために設計された、エンタープライズソフトウェアシステムです。

Red Hat Certificate System Agent および End Entity ページにおいて、多数のクロスサイトスクリプティングの欠陥が検出されました。攻撃者はこれらの欠陥を利用して、Certificate System の Web インターフェイスを使用している被害者に対してクロスサイトスクリプティング攻撃（XSS）を行う可能性があります。（CVE-2012-2662）

Red Hat Certificate System の Certificate Manager が、Web インターフェイスを通じて実行される証明書失効リクエストを適切にチェックしていないことが判明しました。エンドエンティティ証明書の取り消しを行うことが許可されているエージェントが、この欠陥を利用して、認証局（CA）証明書を取り消す可能性があります。（CVE-2012-3367）

この更新により、次の拡張機能も追加されます：

* Red Hat Certificate System 8.1 では以前、Red Hat Directory Server 9.0 を内部データベースとして使用できませんでした。この更新は、Directory Server 9.0 のサポートを追加します。（BZ#547527、BZ#819508）

Red Hat Certificate System 8.1 の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、この拡張機能を追加することが推奨されます。この更新をインストールした後に、全ての Red Hat Certificate System サブシステムは、更新内容を有効にするために再起動する必要があります。

1 つのセキュリティ問題およびいくつかのバグを修正する、更新済み pki-core パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Certificate System は、エンタープライズ公開鍵基盤（PKI）の導入を管理するために設計されたエンタープライズソフトウェアシステムです。PKI Core には、認証局（CA）サブシステムから成る、Red Hat Certificate System が必要とする基本パッケージが含まれています。

Red Hat Certificate System Agent および End Entity ページにおいて、多数のクロスサイトスクリプティングの欠陥が検出されました。攻撃者がこれらの欠陥を利用して、証明書システムの Web インターフェイスを使用している被害者に対して、クロスサイトスクリプティング（XSS）攻撃を行う可能性があります。(CVE-2012-2662)

この更新は以下のバグも修正します：

* 以前は、389-ds-base パッケージと通信するために、pki-core は SSL バージョン 3 （SSLv3）のプロトコルレンジを必要としていました。ただし、 389-ds-base に対する最近の変更で、デフォルトでの SSLv3 の使用が無効となり、 TLS プロトコルなどのセキュアなプロトコルによってサポートされるプロトコルレンジの使用が強制されるようになっています。その結果、Identity Management（IdM）サーバーのインストール中に、 CA のインストールが失敗します。この更新は、 TLS 関連パラメーターを CA の server.xml ファイルに追加してこの問題を修正し、現在、ipa-server-install コマンドを実行すると期待通りに CA がインストールされます。（BZ#1171848）

* 以前は、OpenJDK バージョン 1.8.0 をインストールしたシステムで、スタンドアロンの CA を設定しようとすると、ipa-server-install スクリプトが失敗していました。pki-core のビルドやランタイムの依存関係が、スタンドアロンの CA の構成で OpenJDK バージョン 1.7.0 を使用するように変更されました。結果として、ipa-server-install はこの状況で失敗しなくなりました。（BZ#1212557）

* CA サービスを実行している Red Hat Enterprise Linux 6 のレプリカから、Red Hat Enterprise Linux 7 のレプリカを作成すると、初期の Red Hat Enterprise Linux 6 CA マスターが削除された IdM 展開で失敗することがあります。Red Hat Enterprise Linux 6 から Red Hat Enterprise Linux 7 への移行などの一部の状況では、これが原因で問題が発生することがあります。このバグが発生したのは、初期 CA サーバーのインストール中に作成された、サブシステムユーザーが、初期マスターとともに削除された、以前のバージョンの IdM での問題が原因でした。
この更新は、前述の状況でサブシステムユーザーを復元する、 restore-subsystem-user.py スクリプトを追加し、管理者がこのシナリオで Red Hat Enterprise Linux 7 レプリカを作成できるようにします。（BZ#1225589）

* いくつかの Java インポートステートメントが、ワイルドカード引数を指定します。ただし、 Red Hat Enterprise Linux 6 のメンテナンスブランチに含まれているソースコードのインポートステートメントでのワイルドカード引数の使用のため、名前空間の衝突から正しくないクラスが使用される可能性があります。その結果、Token Processing System（TPS）の再構築テストが、エラーメッセージで失敗していました。この更新は、すべての影響を受けるエリアで完全に名前付きのクラスを提供することでこのバグを修正し、TPS の再構築テストは失敗しなくなります。（BZ#1144188）

* 以前は、pki-core が、TPS のリビルドテスト中の CMake ビルドシステムのリベースバージョンのビルドで失敗していました。pki-core ビルドファイルが更新されて、 CMake のリベースバージョンに適合するようになりました。
結果として、pki-core ビルドは、前述のシナリオで成功します。
（BZ#1144608）

pki-core のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Red Hat Certificate System Agent および End Entity ページにおいて、多数のクロスサイトスクリプティングの欠陥が検出されました。攻撃者がこれらの欠陥を利用して、証明書システムの Web インターフェイスを使用している被害者に対して、クロスサイトスクリプティング（XSS）攻撃を行う可能性があります。(CVE-2012-2662)

この更新は以下のバグも修正します：

- 以前は、389-ds-base パッケージと通信するために、pki-core は SSL バージョン 3（SSLv3）のプロトコルレンジを必要としていました。ただし、 389-ds-base に対する最近の変更で、デフォルトでの SSLv3 の使用が無効となり、 TLS プロトコルなどのセキュアなプロトコルによってサポートされるプロトコルレンジの使用が強制されるようになっています。その結果、Identity Management（IdM）サーバーのインストール中に、 CA のインストールが失敗します。この更新は、TLS 関連パラメーターを CA の server.xml ファイルに追加してこの問題を修正し、現在、ipa-server-install コマンドを実行すると期待通りに CA がインストールされます。

- 以前は、OpenJDK バージョン 1.8.0 をインストールしたシステムで、スタンドアロンの CA を設定しようとすると、ipa-server-install スクリプトが失敗していました。pki-core のビルドやランタイムの依存関係が、スタンドアロンの CA の構成で OpenJDK バージョン 1.7.0 を使用するように変更されました。
 結果として、ipa-server-install はこの状況で失敗しなくなりました。

- CA サービスを実行している Scientific Linux 6 のレプリカから、Scientific Linux 7 のレプリカを作成すると、初期の Scientific  Linux 6 CA マスターが削除された IdM 展開で失敗することがあります。Scientific Linux 6 から Scientific Linux 7 への移行などの一部の状況では、これが原因で問題が発生する可能性があります。このバグが発生したのは、初期 CA サーバーのインストール中に作成された、サブシステムユーザーが、初期マスターとともに削除された、以前のバージョンの IdM での問題が原因でした。この更新は、前述の状況でサブシステムユーザーを復元する、restore-subsystem-user.py スクリプトを追加し、管理者がこのシナリオで Scientific Linux 7 レプリカを作成できるようにします。

- いくつかの Java インポートステートメントが、ワイルドカード引数を指定します。ただし、Scientific Linux 6 のメンテナンスブランチに含まれているソースコードのインポートステートメントでのワイルドカード引数の使用のため、名前空間の衝突から正しくないクラスが使用される可能性があります。その結果、Token Processing System（TPS）の再構築テストが、エラーメッセージで失敗していました。
 この更新は、すべての影響を受けるエリアで完全に名前付きのクラスを提供することでこのバグを修正し、TPS の再構築テストは失敗しなくなります。

- 以前は、pki-core が、TPS の再構築テスト中の CMake ビルドシステムのリベースバージョンのビルドで失敗していました。pki-core ビルドファイルが更新されて、 CMake のリベースバージョンに適合するようになりました。結果として、pki-core ビルドは、前述のシナリオで成功します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85101	Oracle Linux 6：pki-core（ELSA-2015-1347）	Nessus	Oracle Linux Local Security Checks	2015/7/30	2021/1/14	medium
78928	RHEL 5：pki（RHSA-2012:1103）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
84940	RHEL 6：pki-core（RHSA-2015:1347）	Nessus	Red Hat Local Security Checks	2015/7/23	2021/2/5	medium
85014	CentOS 6：pki-core（CESA-2015:1347）	Nessus	CentOS Local Security Checks	2015/7/28	2021/1/4	medium
85205	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の pki-core	Nessus	Scientific Linux Local Security Checks	2015/8/4	2021/1/14	medium

検出

プラグインの検索

medium

medium

medium

medium

medium