注：このアドバイザリによって提供されている認証局コンポーネントは、スタンドアロンサーバーとしては使用できません。これは、Scientific Linux の Identity Management（IPA コンポーネント）の一部としてインストールされ、動作します。

Certificate System に、複数のクロスサイトスクリプティングの欠陥が見つかりました。攻撃者はこれらの欠陥を利用して、Certificate System の Web インターフェイスを使用している被害者に対してクロスサイトスクリプティング攻撃（XSS）を行う可能性があります。(CVE-2012-4543)

この更新は以下のバグも修正します：

- 以前は、新しいシリアル番号を生成する際に大きい整数値が不適切に変換されることで、シリアル番号内の最も重要なビットの一部が切り捨てられました。結果として、証明書に対して生成されたシリアル番号が予想よりも小さくなることがあり、この小さい番号の証明書がデータベースにすでに存在する場合、この不適切な変換により競合が発生しました。この更新では不適切な整数変換が排除されているため、シリアル番号が切り捨てられることはなくなります。結果として、インストールウィザードは期待通りに動作します。

- 認証局は、監査証明書の更新と発行に、異なるプロファイルを使用しました。発行プロファイルの期間は 2 年間、更新プロファイルの期間は 6 か月でした。これらは両者とも 2 年間である必要があります。この更新では、caSignedLogCert.cfg 監査証明書更新プロファイルでデフォルトおよび制約パラメーターを 2 年間に設定します。

この更新により、次の拡張機能も追加されます：

- IPA（Identity、Policy、Audit）では、PKI が起動状態でサービスリクエストに応える準備ができているかを判断するための方法が、改善されています。サービスステータスを確認するだけでは不十分でした。この更新では、CS.cfg の cs.startup_state に問い合わせを行うために、PKI サブシステムが getStatus() 関数を使用して起動していることをクライアントが判断するためのメカニズムを作成します。

- この更新では、デフォルトの root CA 有効期間が 8 年から 20 年に延長されます。

Red Hat セキュリティアドバイザリ 2013:0511 から：

複数のセキュリティ問題と 2 つのバグを修正し、様々な拡張機能を追加する、更新済みの pki-core パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Certificate System は、エンタープライズ公開鍵基盤（PKI）の導入を管理するために設計されたエンタープライズソフトウェアシステムです。PKI Core には、認証局（CA）サブシステムから成る、Red Hat Certificate System が必要とする基本パッケージが含まれています。

注：このアドバイザリによって提供されている認証局コンポーネントは、スタンドアロンサーバーとしては使用できません。これは、Red Hat Enterprise Linux の Identity Management（IPA コンポーネント）の一部としてインストールされ、動作します。

Certificate System に、複数のクロスサイトスクリプティングの欠陥が見つかりました。攻撃者はこれらの欠陥を利用して、Certificate System の Web インターフェイスを使用している被害者に対してクロスサイトスクリプティング攻撃（XSS）を行う可能性があります。(CVE-2012-4543)

この更新は以下のバグも修正します：

* 以前は、新しいシリアル番号を生成する際に大きい整数値が不適切に変換されることで、シリアル番号内の最も重要なビットの一部が切り捨てられました。結果として、証明書に対して生成されたシリアル番号が予想よりも小さくなることがあり、この小さい番号の証明書がデータベースにすでに存在する場合、この不適切な変換により競合が発生しました。この更新では不適切な整数変換が排除されているため、シリアル番号が切り捨てられることはなくなります。結果として、インストールウィザードは期待通りに動作します。
（BZ#841663）

* 認証局は、監査証明書の更新と発行に異なるプロファイルを使用しました。発行プロファイルの期間は 2 年間、更新プロファイルの期間は 6 か月でした。これらは両者とも 2 年間である必要があります。この更新では、caSignedLogCert.cfg 監査証明書更新プロファイルでデフォルトおよび制約パラメーターを 2 年間に設定します。（BZ#844459）

この更新により、次の拡張機能も追加されます：

* IPA（Identity、Policy、Audit）では、PKI が起動しており、サービスリクエストに応える準備ができているかを判断するための方法が改善されています。サービスステータスを確認するだけでは不十分でした。この更新では、CS.cfg の cs.startup_state に問い合わせを行うために、PKI サブシステムが getStatus() 関数を使用して起動していることをクライアントが判断するためのメカニズムを作成します。
（BZ#858864）

* この更新では、デフォルトの root CA 有効期間が 8 年から 20 年に延長されます。（BZ#891985）

pki-core のすべてのユーザーは、これらの更新済みパッケージにアップグレードして、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

Bugzilla バグ #884829 - 複数のクロスサイトスクリプティングの欠陥

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数のセキュリティ問題を修正する、更新済み pki-common および pki-tps パッケージが、Red Hat Certificate System 8.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Certificate System（RHCS）は、エンタープライズ公開鍵インフラストラクチャ（PKI）のデプロイメントを管理するために設計された、エンタープライズソフトウェアシステムです。

Red Hat Certificate System に、複数のクロスサイトスクリプティング欠陥が発見されました。攻撃者はこれらの欠陥を利用して、Certificate System の Web インターフェイスを使用している被害者に対してクロスサイトスクリプティング攻撃（XSS）を行う可能性があります。（CVE-2012-4543）

複数のサービス拒否欠陥が、Red Hat Certificate System のトークン処理で、見つかりました。Certificate System のユーザーは、これらの欠陥を利用して Apache httpd Web サーバーの子プロセスをクラッシュさせ、他のユーザーのリクエストの処理を妨害する可能性があります。（CVE-2012-4555、CVE-2012-4556）

Red Hat は CVE-2012-4555 および CVE-2012-4556 の問題を報告してくれた GDC4S の Patrick Raspante 氏および Ryan Millay 氏に、感謝の意を表します。

Red Hat Certificate System の全ユーザーには、これらの更新済みのパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新をインストールした後に、全ての Red Hat Certificate System およびサブシステムは、更新を有効にするために再起動する必要があります（「/etc/init.d/[instance-name] restart」）。

複数のセキュリティ問題と 2 つのバグを修正し、様々な拡張機能を追加する、更新済みの pki-core パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Certificate System は、エンタープライズ公開鍵基盤（PKI）の導入を管理するために設計されたエンタープライズソフトウェアシステムです。PKI Core には、認証局（CA）サブシステムから成る、Red Hat Certificate System が必要とする基本パッケージが含まれています。

注：このアドバイザリによって提供されている認証局コンポーネントは、スタンドアロンサーバーとしては使用できません。これは、Red Hat Enterprise Linux の Identity Management（IPA コンポーネント）の一部としてインストールされ、動作します。

Certificate System に、複数のクロスサイトスクリプティングの欠陥が見つかりました。攻撃者はこれらの欠陥を利用して、Certificate System の Web インターフェイスを使用している被害者に対してクロスサイトスクリプティング攻撃（XSS）を行う可能性があります。(CVE-2012-4543)

この更新は以下のバグも修正します：

* 以前は、新しいシリアル番号を生成する際に大きい整数値が不適切に変換されることで、シリアル番号内の最も重要なビットの一部が切り捨てられました。結果として、証明書に対して生成されたシリアル番号が予想よりも小さくなることがあり、この小さい番号の証明書がデータベースにすでに存在する場合、この不適切な変換により競合が発生しました。この更新では不適切な整数変換が排除されているため、シリアル番号が切り捨てられることはなくなります。結果として、インストールウィザードは期待通りに動作します。
（BZ#841663）

* 認証局は、監査証明書の更新と発行に異なるプロファイルを使用しました。発行プロファイルの期間は 2 年間、更新プロファイルの期間は 6 か月でした。これらは両者とも 2 年間である必要があります。この更新では、caSignedLogCert.cfg 監査証明書更新プロファイルでデフォルトおよび制約パラメーターを 2 年間に設定します。（BZ#844459）

この更新により、次の拡張機能も追加されます：

* IPA（Identity、Policy、Audit）では、PKI が起動しており、サービスリクエストに応える準備ができているかを判断するための方法が改善されています。サービスステータスを確認するだけでは不十分でした。この更新では、CS.cfg の cs.startup_state に問い合わせを行うために、PKI サブシステムが getStatus() 関数を使用して起動していることをクライアントが判断するためのメカニズムを作成します。
（BZ#858864）

* この更新では、デフォルトの root CA 有効期間が 8 年から 20 年に延長されます。（BZ#891985）

pki-core のすべてのユーザーは、これらの更新済みパッケージにアップグレードして、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

この更新では以下の CVE が修正されます：

CVE-2012-4543 証明書システム：CRL の表示またはプロファイルの処理による複数のクロスサイトスクリプティングの欠陥

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
64958	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の pki-core	Nessus	Scientific Linux Local Security Checks	2013/3/1	2021/1/14	medium
68749	Oracle Linux 6：pki-core（ELSA-2013-0511）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63278	Fedora 17：pki-core-9.0.25-1.fc17（2012-20220）	Nessus	Fedora Local Security Checks	2012/12/17	2021/1/11	medium
78943	RHEL 5：pki（RHSA-2012:1550）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
64760	RHEL 6：pki-core（RHSA-2013:0511）	Nessus	Red Hat Local Security Checks	2013/2/21	2021/1/14	medium
65144	CentOS 6：pki-core（CESA-2013:0511）	Nessus	CentOS Local Security Checks	2013/3/10	2021/1/4	medium
63329	Fedora 16：pki-core-9.0.25-1.fc16（2012-20243）	Nessus	Fedora Local Security Checks	2012/12/24	2021/1/11	medium
63216	Fedora 18：pki-core-10.0.0-2.fc18（2012-20121）	Nessus	Fedora Local Security Checks	2012/12/11	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium