The remote Redhat Enterprise Linux 6 host has one or more packages installed that are affected by a vulnerability that has been acknowledged by the vendor but will not be patched.

  - python-qpid: client does not validate qpid server TLS/SSL certificate (CVE-2013-1909)

Note that Nessus has not tested for this issue but has instead relied on the package manager's report that the package is installed.

Updated Messaging component packages that fix one security issue and multiple bugs are now available for Red Hat Enterprise MRG 2.3 for Red Hat Enterprise Linux 6.

The Red Hat Security Response Team has rated this update as having moderate security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

Red Hat Enterprise MRG (Messaging, Realtime, and Grid) is a next-generation IT infrastructure for enterprise computing. MRG offers increased performance, reliability, interoperability, and faster computing for enterprise customers.

MRG Messaging is a high-speed reliable messaging distribution for Linux based on AMQP (Advanced Message Queuing Protocol), an open protocol standard for enterprise messaging that is designed to make mission critical messaging widely available as a standard service, and to make enterprise messaging interoperable across platforms, programming languages, and vendors. MRG Messaging includes an AMQP 0-10 messaging broker; AMQP 0-10 client libraries for C++, Java JMS, and Python; as well as persistence libraries and management tools.

It was discovered that the Qpid Python client library for AMQP did not properly perform TLS/SSL certificate validation of the remote server's certificate, even when the 'ssl_trustfile' connection option was specified. A rogue server could use this flaw to conduct man-in-the-middle attacks, possibly leading to the disclosure of sensitive information. (CVE-2013-1909)

With this update, Python programs can instruct the library to validate server certificates by specifying a path to a file containing trusted CA certificates.

This issue was discovered by Petr Matousek of the Red Hat MRG Messaging team.

This update also fixes multiple bugs. Documentation for these changes will be available shortly from the Technical Notes document linked to in the References section.

All users of the Messaging capabilities of Red Hat Enterprise MRG 2.3 are advised to upgrade to these updated packages, which resolve the issues noted in the Red Hat Enterprise MRG 2 Technical Notes. After installing the updated packages, stop the cluster by either running 'service qpidd stop' on all nodes, or 'qpid-cluster --all-stop' on any one of the cluster nodes. Once stopped, restart the cluster with 'service qpidd start' on all nodes for the update to take effect.

1 つのセキュリティ問題と複数のバグを修正する更新済みの Messaging コンポーネントパッケージが、Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG 2.3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

MRG Messaging は、AMQP（Advanced Message Queuing Protocol）に基づいた Linux 用の高速かつ信頼できるメッセージングディストリビューションです。このプロトコルは、標準デバイスとして利用できるミッションクリティカルなメッセージングを幅広く行えるようにし、プラットフォーム、プログラミング言語、ベンダーにおいて相互運用可能なエンタープライズメッセージングを実現するためのオープンプロトコル規格です。MRG Messaging には、AMQP 0-10 メッセージングブローカー、C++ 用 AMQP 0-10 クライアントライブラリ、 Java JMS、Python、ならびに永続化ライブラリおよび管理ツールが含まれています。

AMQP の Qpid Python クライアントライブラリが、「ssl_trustfile」接続オプションが指定された場合であっても、リモートサーバーの証明書の TLS/SSL 証明書検証を適切に実行しないことが判明しました。不正なサーバーはこの欠陥を利用して中間者攻撃を実行し、機密情報の漏洩につながる可能性があります。（CVE-2013-1909）

この更新により、信頼できる CA 証明書が含まれるファイルへのパスを指定することで、Python プログラムはライブラリにサーバー証明書を検証するように指示できます。

この問題は、Red Hat MRG Messaging チームの Petr Matousek 氏により発見されました。

この更新では、複数のバグも修正されています。これらの変更に関するドキュメントは、「参照」セクションでリンクされているテクニカルノートドキュメントから、間もなく入手できるようになります。

Red Hat Enterprise MRG 2.3 の Messaging 機能の全ユーザーは、これらの更新済みのパッケージへアップグレードし、Red Hat Enterprise MRG 2 テクニカルノートで言及されているこの問題を解決することが推奨されます。更新済みのパッケージをインストールした後、すべてのノード上で「service qpidd stop」を実行するか、クラスターノードの 1 つで「qpid-cluster --all-stop」を実行してクラスターを停止させます。更新を有効にするには、停止後に、すべてのノード上で「service qpidd start」を実行してクラスターを再起動させます。

更新后的 Messaging 组件程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 6 的 Red Hat Enterprise MRG 2.3。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise MRG（Messaging、Realtime 和 Grid）是用于企业计算的下一代 IT 基础架构。MRG 为企业客户提供更高的性能、可靠性和互操作性以及更快的计算速度。

MRG Messaging 是基于 AMQP（高级消息队列协议）的针对 Linux 的高速可靠消息分发工具，该工具是一个为企业消息传送设计的开放协议标准，可使关键任务消息传送作为标准服务进行广泛使用，并实现企业消息传送在各类平台、编程语言和供应商之间的互操作性。MRG Messaging 包括一个 AMQP 0-10 消息代理；用于 C++、Java JMS 和 Python 的 AMQP 0-10 客户端库；以及暂留库和管理工具。

已发现 AMQP 的 Qpid Python 客户端库未正确地对远程服务器的证书执行 TLS/SSL 证书验证，即使指定了“ssl_trustfile”连接选项时亦是如此。流氓服务器可利用此缺陷执行中间人攻击，可能导致泄露敏感信息。(CVE-2013-1909)

此更新通过指定指向包含受信任 CA 证书的文件的路径，Python 程序可指示库验证服务器证书。

此问题由 Red Hat MRG Messaging 团队的 Petr Matousek 发现。

此更新还修复多种缺陷。“参考”部分链接的技术札记文档中近期将提供这些更改的文档。

建议 Red Hat Enterprise MRG 2.3 Messaging 功能的所有用户升级到这些更新后的程序包，其中解决了 Red Hat Enterprise MRG 2 技术札记中说明的问题。安装更新后的程序包后，请通过在所有节点上运行“service qpidd stop”或在任一群集节点上运行“qpid-cluster --all-stop”停止群集。停止后，在所有节点上使用“service qpidd start”重新启动群集才能使更新生效。

現已提供適用於 Red Hat Enterprise Linux 6 之 Red Hat Enterprise MRG 2.3 的更新版 Messaging 元件套件，可修正一個安全性問題和多個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise MRG (Messaging、Realtime 與 Grid) 是企業計算方面的新一代 IT 基礎結構。MRG 為企業客戶提供增進的效能、可靠性、互通性與更快的計算能力。

MRG Messaging 是針對 Linux 以 AMQP (進階訊息佇列通訊協定) 為基礎所發佈的高速可靠傳訊，這是企業傳訊的開放式通訊協定標準，可將任務重要的傳訊能力廣泛推廣為標準服務，並使企業傳訊能夠跨平台、程式設計語言及供應商互通。MRG Messaging 包含 AMQP 0-10 傳訊 Broker；適用於 C++、Java JMS 與 Python 的 AMQP 0-10 用戶端程式庫；另外還有持續性程式庫與管理工具。

據發現，即使指定了 ‘ssl_trustfile’ 連線選項，AMQP 的 Qpid Python 用戶端程式庫仍未正確執行遠端伺服器憑證的 TLS/SSL 憑證驗證。惡意伺服器可利用此瑕疵進行攔截式攻擊，這可能導致洩漏敏感資訊。(CVE-2013-1909)

透過此更新，Python 程式可指示程式庫指定含有受信任 CA 憑證的檔案之路徑，藉此驗證伺服器憑證。

此問題是由 Red Hat MRG Messaging 團隊的 Petr Matousek 所發現

此更新還可修正多個錯誤。這些變更的相關文件近期將可從＜參照＞一節中的「技術提示」文件連結中取得。

建議 Red Hat Enterprise MRG 2.3 之 Messaging 功能的所有使用者皆升級至這些更新版套件，其可解決 Red Hat Enterprise MRG 2 技術提示中提到的問題。安裝更新版套件之後，透過對所有節點執行「service qpidd stop」，或對任何一個叢集節點執行「qpid-cluster --all-stop」，可停止叢集。停止之後，對所有節點以「service qpidd start」重新啟動叢集，更新才會生效。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
199037	RHEL 6 : python-qpid (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	medium
76661	RHEL 6 : MRG (RHSA-2013:1024)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76661	RHEL 6：MRG（RHSA-2013:1024）	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76661	RHEL 6：MRG (RHSA-2013:1024)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76661	RHEL 6：MRG (RHSA-2013:1024)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium

検出

プラグインの検索

medium

medium

medium

medium

medium