セキュリティ修正プログラム:

  - IdMのca-delコマンド、ca-disableコマンド、ca-enableコマンドが、DogtagのCAを変更中にユーザーのアクセス許可を適切にチェックしていないことがわかりました。認証された、権限のない攻撃者がこの欠陥を使用して、CAを削除、無効化、有効化し、証明書の発行、OCSPの署名、および秘密鍵の削除に関するさまざまなサービス拒否の問題を引き起こす可能性があります。（CVE-2017-2590）

バグ修正プログラム:

  - 以前は、ドメインレベル「1」以上で動作するIdM（Identity Management）レプリカのインストール中に、ディレクトリサーバーはTLS暗号化を使用するように設定されていませんでした。そのため、そのレプリカへの証明機関（CA）のインストールが失敗しました。現在、ディレクトリサーバーはレプリカへのインストール中にTLS暗号化を使用するように設定されているため、CAのインストールは想定どおりに動作します。

  - 以前は、アイデンティティ管理（IdM）の公開鍵インフラストラクチャ（PKI）コンポーネントは、「: : 1」IPv6ローカルホストアドレスでリッスンするように構成されていました。IPv6プロトコルが無効になっている環境では、レプリカのインストーラーはディレクトリサーバーの証明書を取得できず、インストールに失敗していました。PKIコネクタのデフォルトのリスニングアドレスが、IPアドレスから「localhost」に更新されました。その結果、PKIコネクタはIPv4およびIPv6環境の正しいアドレスをリッスンするようになりました。

  - 以前は、レプリカに認証局（CA）をインストールするときに、IdM（Identity Management）はサードパーティのCA証明書を証明書システムのCAインストーラーに提供できませんでした。そのため、リモートマスターがサードパーティのサーバー証明書を使用していてインストールが失敗した場合、インストーラーはリモートマスターに接続できませんでした。この更新プログラムではパッチが適用され、その結果、CAレプリカのインストールは、前述の状況で想定どおりに動作します。

  - レプリカをインストールするとき、Identity Manager（IdM）マスターでWebサーバーサービスエントリが作成され、すべてのIdMサーバーにレプリケートされます。以前は、認証局（CA）なしでレプリカをインストールするとき、場合によっては所定の時間にサービスエントリを新しいレプリカにレプリケートできず、インストールが失敗することがありました。レプリカインストーラーが更新されて、Webサーバーサービスのエントリがレプリケートされるまで待機するようになりました。その結果、前述の状況でレプリカのインストールが失敗することはなくなりました。

ipaの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat IdM（Identity Management）は、従来型の環境およびクラウドベースのエンタープライズ環境の両方に対する一元化された認証、ID管理、承認のソリューションです。セキュリティ修正プログラム：* IdMのca-delコマンド、ca-disableコマンド、ca-enableコマンドが、DogtagのCAを変更中にユーザーのアクセス許可を適切にチェックしていないことがわかりました。認証された、権限のない攻撃者がこの欠陥を使用して、CAを削除、無効化、有効化し、証明書の発行、OCSPの署名、および秘密鍵の削除に関するさまざまなサービス拒否の問題を引き起こす可能性があります。（CVE-2017-2590）この問題は、Fraser Tweedale氏（Red Hat）によって発見されました。バグ修正プログラム：* 以前は、ドメインレベル「1」以上で動作するIdM（Identity Management）レプリカのインストール中に、ディレクトリサーバーはTLS暗号化を使用するように設定されていませんでした。そのため、そのレプリカへの証明機関（CA）のインストールが失敗しました。現在、ディレクトリサーバーはレプリカへのインストール中にTLS暗号化を使用するように設定されているため、CAのインストールは想定どおりに動作します。（BZ#1410760）* 以前は、アイデンティティ管理（IdM）の公開鍵インフラストラクチャ（PKI）コンポーネントは、「::1」IPv6ローカルホストアドレスでリッスンするように構成されていました。IPv6プロトコルが無効になっている環境では、レプリカのインストーラーはディレクトリサーバーの証明書を取得できず、インストールに失敗していました。PKIコネクタのデフォルトのリスニングアドレスが、IPアドレスから「localhost」に更新されました。その結果、PKIコネクタはIPv4およびIPv6環境の正しいアドレスをリッスンするようになりました。（BZ#1416481）* 以前は、レプリカに認証局（CA）をインストールするときに、IdM（Identity Management）はサードパーティのCA証明書を証明書システムのCAインストーラーに提供できませんでした。そのため、リモートマスターがサードパーティのサーバー証明書を使用していてインストールが失敗した場合、インストーラーはリモートマスターに接続できませんでした。この更新プログラムではパッチが適用され、その結果、CAレプリカのインストールは、前述の状況で想定どおりに動作します。（BZ#1415158）* レプリカをインストールするとき、Identity Manager（IdM）マスターでWebサーバーサービスエントリが作成され、すべてのIdMサーバーにレプリケートされます。以前は、認証局（CA）なしでレプリカをインストールするとき、場合によっては所定の時間にサービスエントリを新しいレプリカにレプリケートできず、インストールが失敗することがありました。レプリカインストーラーが更新されて、Webサーバーサービスのエントリがレプリケートされるまで待機するようになりました。その結果、前述の状況でレプリカのインストールが失敗することはなくなりました。（BZ＃1416488）

出典：Red Hatセキュリティアドバイザリ2017：0388：ipaの更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat IdM（Identity Management）は、従来型の環境およびクラウドベースのエンタープライズ環境の両方に対する一元化された認証、ID管理、承認のソリューションです。セキュリティ修正プログラム：* IdMのca-delコマンド、ca-disableコマンド、ca-enableコマンドが、DogtagのCAを変更中にユーザーのアクセス許可を適切にチェックしていないことがわかりました。認証された、権限のない攻撃者がこの欠陥を使用して、CAを削除、無効化、有効化し、証明書の発行、OCSPの署名、および秘密鍵の削除に関するさまざまなサービス拒否の問題を引き起こす可能性があります。（CVE-2017-2590）この問題は、Fraser Tweedale氏（Red Hat）によって発見されました。バグ修正プログラム：* 以前は、ドメインレベル「1」以上で動作するIdM（Identity Management）レプリカのインストール中に、ディレクトリサーバーはTLS暗号化を使用するように設定されていませんでした。そのため、そのレプリカへの証明機関（CA）のインストールが失敗しました。現在、ディレクトリサーバーはレプリカへのインストール中にTLS暗号化を使用するように設定されているため、CAのインストールは想定どおりに動作します。（BZ#1410760）* 以前は、アイデンティティ管理（IdM）の公開鍵インフラストラクチャ（PKI）コンポーネントは、「::1」IPv6ローカルホストアドレスでリッスンするように構成されていました。IPv6プロトコルが無効になっている環境では、レプリカのインストーラーはディレクトリサーバーの証明書を取得できず、インストールに失敗していました。PKIコネクタのデフォルトのリスニングアドレスが、IPアドレスから「localhost」に更新されました。その結果、PKIコネクタはIPv4およびIPv6環境の正しいアドレスをリッスンするようになりました。（BZ#1416481）* 以前は、レプリカに認証局（CA）をインストールするときに、IdM（Identity Management）はサードパーティのCA証明書を証明書システムのCAインストーラーに提供できませんでした。そのため、リモートマスターがサードパーティのサーバー証明書を使用していてインストールが失敗した場合、インストーラーはリモートマスターに接続できませんでした。この更新プログラムではパッチが適用され、その結果、CAレプリカのインストールは、前述の状況で想定どおりに動作します。（BZ#1415158）* レプリカをインストールするとき、Identity Manager（IdM）マスターでWebサーバーサービスエントリが作成され、すべてのIdMサーバーにレプリケートされます。以前は、認証局（CA）なしでレプリカをインストールするとき、場合によっては所定の時間にサービスエントリを新しいレプリカにレプリケートできず、インストールが失敗することがありました。レプリカインストーラーが更新されて、Webサーバーサービスのエントリがレプリケートされるまで待機するようになりました。その結果、前述の状況でレプリカのインストールが失敗することはなくなりました。（BZ＃1416488）

CVE 2017-2590：freeipa：ipa：ca-del、ca-disable、ca-enableコマンドの不十分な権限チェック[fedora-all]

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
97515	Scientific Linux セキュリティ更新: SL7.x x86_64のipa（20170302）	Nessus	Scientific Linux Local Security Checks	2017/3/3	2021/1/14	high
97511	RHEL 7：ipa（RHSA-2017:0388）	Nessus	Red Hat Local Security Checks	2017/3/3	2019/10/24	high
97527	CentOS 7：ipa（CESA-2017:0388）	Nessus	CentOS Local Security Checks	2017/3/6	2021/1/4	high
97507	Oracle Linux 7：ipa（ELSA-2017-0388）	Nessus	Oracle Linux Local Security Checks	2017/3/3	2021/1/14	high
97618	Fedora 25：freeipa（2017-98f85533f0）	Nessus	Fedora Local Security Checks	2017/3/9	2021/1/6	high

検出

プラグインの検索

high

high

high

high

high