satellite-schema、spacewalk-backend、spacewalk-java、およびspacewalk-schemaの更新プログラムがRed Hat Satellite 5.8およびRed Hat Satellite 5.8 ELSで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Spacewalkは、システムのプロビジョニング、設定、パッチ機能を提供するオープンソースのシステム管理ソリューションです。Red Hat Satellite は、Linux ベースのインフラストラクチャ用のシステム管理ツールです。単一の集中化したツールを使用した、複数の Linux 展開のプロビジョニング、監視、リモート管理が可能になります。セキュリティ修正プログラム：* Satellite 5での組織名の表示方法にクロスサイトスクリプティング（XSS）の欠陥が見つかりました。組織の名前を変更できるユーザーがこの欠陥を悪用し、他のSatelliteユーザーに対してXSS攻撃を実行する可能性があります。（CVE-2017-7538）この問題はAles Dujicek氏（Red Hat）によって発見されました。バグ修正プログラム：*この更新プログラムより前は、衛星間同期またはチャンネルダンプを使用して衛星間でコンテンツを転送すると、チャンネルに関連する製品名を転送できませんでした。これは、EUSチャンネル間でサーバーを移動するプロセスの妨げとなりました。「satellite-export」ツールは、この動作を修正して、関連付けられた製品名を正しく提供するようになりました。（BZ#1446271）*この更新プログラムより前は、「schedule.failSystemAction()」というAPI呼び出しで、システムのイベント履歴を上書きできました。これは監査の観点からは望ましくありません。現在ではAPIが完了または失敗したイベントに影響を与える可能性はなくなりました。（BZ#1455887）*この更新プログラムより前は、組織の属性を変更することを許可されていない組織管理者は、フォーム要素を変更することによってこれを変更できました。現在では、関連付けられているフォームコントローラはこの動作を許可しません。（BZ#1458722）*更新プログラムより前は、使用可能なミラーの数がリトライ回数より多い場合、「ダウンロード」ツールのリトライ制限は正しくありませんでした。状況によっては、無害であっても役に立たないトレースバックも生成される可能性がありました。これらの動作は両方とも修正されました。（BZ#1458765）*この更新プログラムより前は、再アクティブ化キーを使用した並列の登録でスナップショットエントリが作成され、時々デッドロックが発生する可能性がありました。これらのデッドロックを防ぐために、再アクティブ化キー登録パスとスナップショット作成パスの両方が更新されました。（BZ#1458880）*この更新プログラムより前のリリースでは、特定のリポジトリ内の単一のエラッタに問題がある場合、「reposync」コマンドはエラーを出して終了していました。現在、ツールはこのようなエラーをログに記録しますが、残りのエラッタを同期し続けます。（BZ#1466229）* Satellite 5.8リリースでは、Satellite 5.7用にリリースされた登録失敗エラーメッセージの更新プログラムを含めることができませんでした。これにより、不足している更新プログラムが復元されます。（BZ#1467632）*この更新プログラムの前は、System Set Managerのシステムリストに、システムの更新ステータスに対応する正しいアイコンが表示されませんでした。これは修正されました。（BZ#1475067）*この更新プログラムより前は、「cdn-sync」コマンドのタイミングウィンドウで複数のチャネルを同時に同期すると、403エラーで一部の同期試行が拒否される可能性がありました。この更新プログラムでは、タイミングウィンドウが修正され、複数の同期が確実に機能するようになります。（BZ#1476924）*この更新プログラムより前に、所定のエラッタの影響を受けるSystem Set Managerでシステムを表示しようとすると、内部サーバーエラーが発生していました。これは修正されました。（BZ#1477508）*この更新プログラムより前は、特定のチャンネルで「cdn-sync --no-packages」を使用すると、そのチャンネルからすべてのパッケージの関連付けが解除されていました。この動作は修正され、「--no-packages」は意図したとおりにそのステップをスキップするようになりました。（BZ#1477667）

An update for satellite-schema, spacewalk-backend, spacewalk-java, and spacewalk-schema is now available for Red Hat Satellite 5.8 and Red Hat Satellite 5.8 ELS.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Spacewalk is an Open Source systems management solution that provides system provisioning, configuration and patching capabilities.

Red Hat Satellite is a system management tool for Linux-based infrastructures. It allows for provisioning, monitoring, and the remote management of multiple Linux deployments with a single, centralized tool.

Security Fix(es) :

* A cross-site scripting (XSS) flaw was found in how an organization name is displayed in Satellite 5. A user able to change an organization's name could exploit this flaw to perform XSS attacks against other Satellite users. (CVE-2017-7538)

This issue was discovered by Ales Dujicek (Red Hat).

Bug Fix(es) :

* Prior to this update, transferring content between Satellites using Inter-Satellite Synchronization or channel-dumps failed to transfer the product-name related to channels. This interfered with the process of moving a server between EUS channels. The 'satellite-export' tool now correctly provides associated product-names, fixing this behavior.
(BZ# 1446271)

* Prior to this update, the API call 'schedule.failSystemAction()' allowed overwriting a system's event history. This is undesirable from an auditing standpoint. The API now no longer allows affecting completed or failed events. (BZ#1455887)

* Prior to this update, organization administrators who were not allowed to change their organization's attributes could do so by modifying form elements. The associated form controller no longer allows this behavior. (BZ#1458722)

* Prior to this update, the 'download' tool's retry limit would be incorrect if there were more available mirrors than its retry count.
It could also produce a harmless but unhelpful traceback in some situations. Both of these behaviors have been fixed. (BZ#1458765)

* Prior to this update, it was possible for parallel registrations using reactivation keys, that were creating snapshot entries, to occasionally deadlock. Both the reactivation-key registration and snapshot-creation paths have been updated to prevent these deadlocks.
(BZ#1458880)

* Prior to this update, if there was some problem with a single erratum in a given repository, the 'reposync' command would complain and exit. The tool now logs such errors but continues to synchronize any remaining errata. (BZ #1466229)

* The Satellite 5.8 release failed to include an update to a registration-failure error message that had been released for Satellite 5.7. This restores the missing update. (BZ#1467632)

* Prior to this update, the list of systems in the System Set Manager failed to display the correct icons for a system's update status. This has been corrected. (BZ#1475067)

* Prior to this update, a timing window in the 'cdn-sync' command, when synchronizing multiple channels at once, could cause some of the synchronization attempts to be refused with a 403 error. This update fixes the timing window so that multiple syncs should now work reliably. (BZ# 1476924)

* Prior to this update, attempting to view the systems in the System Set Manager that are affected by a given erratum would result in an internal server error. This has been fixed. (BZ#1477508)

* Prior to this update, using 'cdn-sync --no-packages' on a specific channel would disassociate all packages from that channel. This behavior has been fixed, so that '--no-packages' now just skips that step as intended. (BZ# 1477667)

现已提供适用于 Red Hat Satellite 5.8 和 Red Hat Satellite 5.8 ELS 的 satellite-schema、spacewalk-backend、spacewalk-java 和 spacewalk-schema 更新。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Spacewalk 是一种开源系统管理解决方案，为系统提供设置、配置和修补能力。Red Hat Satellite 是适用于基于 Linux 基础架构的系统管理工具。它允许通过单一集中化工具配置、监控和远程管理多个 Linux 部署。安全修复：* 在 Satellite 5 显示组织名称的方式中发现跨站脚本 (XSS) 缺陷。可更改组织名称的用户可利用此缺陷，针对其他 Satellite 用户执行 XSS 攻击。(CVE-2017-7538) 此问题由 Ales Dujicek (Red Hat) 发现。缺陷修复：* 在此更新之前，使用 Inter-Satellite Synchronization 或 channel-dumps 在 Satellite 之间传输内容并未传输与渠道相关的产品名称。此举妨碍了在 EUS 渠道之间移动服务器的进程。“satellite-export”工具现可正确提供相关的产品名称，从而修复了此行为。(BZ# 1446271) * 在此更新之前，API 调用“schedule.failSystemAction()”允许覆写系统的事件历史。从审核的立场来看，这并不是适当的行为。API 现在已不再允许影响已完成或失败的事件。(BZ#1455887) * 在此更新之前，不可更改组织属性的组织管理员可通过修改窗体元素，变更组织属性。相关的表单控制器不再允许此行为。(BZ#1458722) * 在此更新之前，若有多于镜像重试次数的可用镜像，“download”工具的重试限制就不正确。在某些情况下，这也可能会产生无害但也无益的回溯。这些行为均已修复。(BZ#1458765) * 在此更新之前，使用重新激活密钥且创建快照条目的平行注册偶尔会发生死锁情形。reactivation-key 注册和 snapshot-creation 路径均已更新，可防止上述死锁问题发生。(BZ#1458880) * 在此更新之前，任一特定存储库的单一 erratum 若有问题，“reposync”命令就会提交并结束。该工具现在会记录此错误，但会继续同步化任何其余的 errata。(BZ #1466229) * Satellite 5.8 版本未能纳入已针对 Satellite 5.7 发布的 registration-failure 错误消息更新。这会恢复缺失的更新。(BZ#1467632) * 在此更新之前，System Set Manager 中的系统列表未显示系统更新状态的正确图标。此问题已得到修正。(BZ#1475067) * 在此更新之前，一次同步化多个渠道时，“cdn-sync”命令中的定时时段可能造成某些同步化尝试遭到拒绝，并发生 403 错误。此更新修复定时时段，现在多个同步内容已可稳定运作。(BZ# 1476924) * 在此更新之前，尝试在受到特定 erratum 影响的 System Set Manager 中查看系统会导致内部服务器错误。此问题已得到修复。(BZ#1477508) * 在此更新之前，在特定渠道上使用“cdn-sync --no-packages”会解除所有程序包与该渠道的关联。此行为已修复，“--no-packages”现在会如预期略过该步骤。(BZ# 1477667)

現已提供適用於 Red Hat Satellite 5.8 和 Red Hat Satellite 5.8 ELS 的 satellite-schema、spacewalk-backend、spacewalk-java 和 spacewalk-schema 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Spacewalk 是一種開放原始碼系統管理解決方案，其提供系統佈建、組態及修補功能。Red Hat Satellite 是一種適用於 Linux 型基礎結構的系統管理工具。只要使用一個集中式工具，便可佈建、監控及遠端管理多個 Linux 部署。安全性修正：* 在 Satellite 5 顯示組織名稱的方式中，發現一個跨網站指令碼 (XSS) 缺陷。可變更組織名稱的使用者可惡意利用此缺陷，對其他 Satellite 使用者發動 XSS 攻擊。(CVE-2017-7538) 此問題是由 Ales Dujicek (Red Hat) 所發現。錯誤修正：* 在此更新之前，使用 Inter-Satellite Synchronization 或 channel-dumps 在 Satellites 之間傳輸內容並未傳輸與通道相關的產品名稱。此舉妨礙了在 EUS 通道之間移動伺服器的處理程序。「satellite-export」工具現可正確提供相關的產品名稱，從而修正了此行為。(BZ# 1446271) * 在此更新之前，API 呼叫「schedule.failSystemAction()」允許覆寫系統的事件歷程記錄。從稽核的立場來看，這並不是適當的行為。API 現在已不再允許影響已完成或失敗的事件。(BZ#1455887) * 在此更新之前，不可變更組織屬性的組織管理員只要修改表單元素，即可變更組織屬性。相關的表單控制器不再允許此行為。(BZ#1458722) * 在此更新之前，若有多於鏡像重試計數的可用鏡像，「download」工具的重試限制就不正確。在某些情況下，這也可能會產生無害但沒有助益的回溯。這些行為皆已修正。(BZ#1458765) * 在此更新之前，使用重新啟動金鑰的平行登錄 (建立快照項目) 偶爾會發生鎖死情形。reactivation-key 登錄和 snapshot-creation 路徑均已更新，可防止上述鎖死問題發生。(BZ#1458880) * 在此更新之前，任一特定存放庫的單一 erratum 若有問題，「reposync」命令就會呈報並結束。該工具現在會記錄此錯誤，但會繼續同步化任何其餘的 errata。(BZ #1466229) * Satellite 5.8 版本未能納入已針對 Satellite 5.7 發佈的 registration-failure 錯誤訊息更新。這會恢復缺漏的更新。(BZ#1467632) * 在此更新之前，System Set Manager 中的系統清單未顯示系統更新狀態的正確圖示。此問題已更正。(BZ#1475067) * 在此更新之前，一次同步化多個通道時，「cdn-sync」命令中的計時視窗可能造成某些同步化嘗試遭到拒絕，並發生 403 錯誤。此更新修正了該計時視窗，現在多重同步化作業已可穩定運作。(BZ# 1476924) * 在此更新之前，嘗試在受到特定 erratum 影響的 System Set Manager 中檢視系統會導致內部伺服器錯誤。這個問題已修正。(BZ#1477508) * 在此更新之前，在特定通道上使用「cdn-sync --no-packages」會解除所有套件與該通道的關聯。此行為已經過修正，「--no-packages」現在會如預期略過該步驟。(BZ# 1477667)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
103045	RHEL 6：Satellite Server（RHSA-2017:2645）	Nessus	Red Hat Local Security Checks	2017/9/8	2019/10/24	medium
103045	RHEL 6 : Satellite Server (RHSA-2017:2645)	Nessus	Red Hat Local Security Checks	2017/9/8	2019/10/24	medium
103045	RHEL 6：Satellite Server (RHSA-2017:2645)	Nessus	Red Hat Local Security Checks	2017/9/8	2019/10/24	medium
103045	RHEL 6：Satellite Server (RHSA-2017:2645)	Nessus	Red Hat Local Security Checks	2017/9/8	2019/10/24	medium

検出

プラグインの検索

medium

medium

medium

medium