リモートのRed Hat Enterprise Linux CoreOS 2ホストには、 RHSA-2016:0489 アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - ObjectMessage:アンセーフなデシリアライゼーション(CVE-2015-5254)

  - jenkins:指紋によるプロジェクト名開示(SECURITY-153)(CVE-2015-5317)

  - jenkins:CSRF保護ソルト(SECURITY-169)に使用されるパブリックバリュー(CVE-2015-5318)

  - jenkins:CLIを経由したジョブ構成へのXXE注入(SECURITY-173)(CVE-2015-5319)

  - jenkins:スレーブ接続時に秘密鍵が検証されない(SECURITY-184)(CVE-2015-5320)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

いくつかのセキュリティの問題といくつかのバグを修正し、拡張機能を導入したRed Hat OpenShift Enterpriseリリース2.2.9が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。このリリースでは、次のセキュリティ問題に対処します：ActiveMQは、オブジェクトを逆シリアル化するときにユーザー指定のデータを安全に処理しないことがわかりました。リモートの攻撃者がこの欠陥を悪用し、ActiveMQアプリケーションの権限で任意のコードを実行する可能性があります。（CVE-2015-5254）Jenkins Continuous Integration Serverの更新では、XSS、CSRF、情報漏えい、コードの実行を含む多数のセキュリティ問題に対応しています。（CVE-2015-5317、CVE-2015-5318、CVE-2015-5319、CVE-2015-5320、CVE-2015-5321、CVE-2015-5322、CVE-2015-5323、CVE-2015-5324、CVE -2015-5325、CVE-2015-5326、CVE-2015-7537、CVE-2015-7538、CVE-2015-7539、CVE-2015-8103）スペースの関係上、これらのバグ修正がすべてこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、『OpenShift Enterpriseテクニカルノート』を参照してください。これは、リリース2.2.9で間もなく更新されます：https://access.redhat.com/documentation/en-US/OpenShift_Enterprise/2/html-single/Technical_Notes/index.html：OpenShift Enterprise 2のすべてのユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。

パッケージが更新され、いくつかのセキュリティの問題とバグを修正し、拡張機能を導入するRed Hat OpenShift Enterprise release 3.1.1が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。このリリースでは、次のセキュリティの問題に対応しています：Kubernetesに認証上の欠陥が見つかりました：APIサーバーが特定のリクエストを処理する際にユーザーの権限を正しくチェックしていませんでした。認証されたリモートの攻撃者がこの欠陥を悪用し、RAMやディスク容量などのリソースへの追加のアクセス権を取得する可能性があります。（CVE-2016-1905）Kubernetesに認証上の欠陥が見つかりました：APIサーバーが特定のビルド構成方法を処理する際にユーザーの権限を正しくチェックしていませんでした。リモートの攻撃者が、ポリシーに違反する手法でビルド構成を作成する可能性があります。攻撃者は自分でビルドを起動できませんが（ポリシーに違反すると起動に失敗します）、ビルド構成ファイルが後で他の権限で実行できるサービス（自動トリガーなど）によって起動されると、ユーザーの権限をバイパスして攻撃者の昇格が可能になる可能性があります。（CVE-2016-1906）Jenkins Continuous Integration Serverの更新では、XSS、CSRF、情報漏えい、コードの実行を含む多数のセキュリティ問題に対応しています。（CVE-2013-2186、CVE-2014-1869、CVE-2014-3661、CVE-2014-3662、CVE-2014-3663、CVE-2014-3664、CVE-2014-3666、CVE-2014-3667、CVE-2014-3680、CVE-2014-3681、CVE-2015-1806、CVE-2015-1807、CVE-2015-1808、CVE-2015-1810、CVE-2015-1812、CVE-2015-1813、CVE-2015-1814、CVE-2015-5317、CVE-2015-5318、CVE-2015-5319、CVE-2015-5320、CVE-2015-5321、CVE-2015-5322、CVE-2015-5323、CVE-2015-5324、CVE-2015-5325、CVE-2015-5326、CVE-2015-7537、CVE-2015-7538、CVE-2015-7539、CVE-2015-8103）スペースの関係上、すべてのバグ修正と拡張がこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、『OpenShift Enterprise 3.1リリースノート』を参照してください。これは、リリース3.1.1で間もなく更新されます：https://docs.openshift.com/enterprise/3.1/release_notes/ ose_3_1_release_notes.html：OpenShift Enterprise 3のすべてのユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。

リモート Red Hat Enterprise Linux CoreOS 3 ホストに、RHSA-2016:0070 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - commons-fileupload: 逆シリアル化による任意ファイルのアップロード (CVE-2013-2186)

  - stapler-adjunct-zeroclipboard: 複数のクロスサイトスクリプティング (XSS) の欠陥 (CVE-2014-1869)

  - jenkins: サービス拒否 (SECURITY-87) (CVE-2014-3661)

  - jenkins: ユーザー名発見 (SECURITY-110) (CVE-2014-3662)

  - jenkins: ジョブ設定の問題 (SECURITY-127, SECURITY-128) (CVE-2014-3663)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Web サーバーは、1.638 または 1.625.2 以前のバージョンの Jenkins または Jenkins Enterprise をホストしています。そのため、認証されていない Java オブジェクトの逆シリアル化を可能にする Apache Commons Collections（ACC）ライブラリの欠陥の影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、ターゲットホスト上で任意のコードを実行する恐れがあります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
311965	RHCOS 2 : Red Hat OpenShift Enterprise 2.2.9 (RHSA-2016:0489)	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/5	medium
119368	RHEL 6：Red Hat OpenShift Enterprise 2.2.9（RHSA-2016:0489）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/4	critical
119442	RHEL 7：openshift（RHSA-2016:0070）	Nessus	Red Hat Local Security Checks	2018/12/6	2023/5/14	critical
312030	RHCOS 3 : Red Hat OpenShift Enterprise 3.1.1 の更新 (重要度高) (RHSA-2016:0070)	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/5	medium
86898	Jenkins < 1.638/1.625.2 Java オブジェクト逆シリアル化 RCE	Nessus	General	2015/11/17	2025/5/14	high

検出

プラグインの検索

medium

critical

critical

medium

high