An update for ceph and grafana is now available for Red Hat Ceph Storage 2.5 for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat Ceph Storage is a scalable, open, software-defined storage platform that combines the most stable version of the Ceph storage system with a Ceph management platform, deployment utilities, and support services.

Security Fix(es) :

* grafana: File exfiltration (CVE-2018-19039)

For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and other related information, refer to the CVE page(s) listed in the References section.

Bug Fix(es) :

* This issue was discovered with OpenStack Cinder Backup when 'rados_connect_timeout' was set. Normally the timeout is not enabled.
If the cluster was highly loaded the timeout could be reached, causing the segfault. With this update to Red Hat Ceph Storage, if the timeout is reached a segfault no longer occurs. (BZ#1655685)

* With this release, you now have the ability to reset a user's statistics using the 'radosgw-admin' command. In previous versions, the user's recorded statistics diverged from the actual statistics.
When using the '--reset-stats' option with the 'radosgw-admin' command, along with specifying the Ceph Object Gateway user, the stats will be recalculated. (BZ#1673217)

* In the duplicate checking code an inconsistency was found that caused duplicate indices to be added, instead of trimming them. The duplicate checking code logic has been fixed, making adding and trimming duplicate indices consistent, which results in correctly trimming duplicate indices. (BZ#1676709)

* Two bugs were found in the garbage collection list iteration logic.
One of these bugs was a race condition when doing system restarts.
These bugs were causing higher-than-expected workloads and stalling in garbage collection processing. Issues with list truncation and entry deletion were fixed, reducing the potential for garbage collection stalls and high-read I/O during garbage collection removal.
(BZ#1680050)

* Due to a bug in multi-site sync of versioning-suspended buckets, certain object versioning attributes were overwritten with incorrect values. Consequently, the objects failed to sync and attempted to retry endlessly, blocking further sync progress. With this update, the sync process no longer overwrites versioning attributes. In addition, any broken attributes are now detected and repaired. As a result, objects are synced correctly in versioning-suspended buckets.
(BZ#1690927)

* Previously, bucket indices could include 'false entries' that did not represent actual objects and that resulted from a prior bug.
Consequently, during the process of deleting such buckets, encountering a false entry caused the process to stop and return an error code. With this update, when a false entry is encountered, Ceph ignores it, and deleting buckets with false entries works as expected.
(BZ#1690930)

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2019:0911 advisory.

    Red Hat Ceph Storage is a scalable, open, software-defined storage platform that combines the most stable     version of the Ceph storage system with a Ceph management platform, deployment utilities, and support     services.

    Security Fix(es):

    * grafana: File exfiltration (CVE-2018-19039)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

    Bug Fix(es) and Enhancement(s)

    For detailed information on changes in this release, see the Red Hat Ceph     Storage 3.2 Release Notes available at:

    https://access.redhat.com/documentation/en-us/red_hat_ceph_storage/3.2/html/release_notes/index

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

cephとgrafanaの更新プログラムがRed Hat Enterprise Linux 7用のRed Hat Ceph Storage 2.5で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Ceph Storageは、スケーラブルかつオープンなソフトウェア定義型ストレージプラットフォームです。Cephストレージシステムの最も安定したバージョンに、Ceph管理プラットフォーム、展開ユーティリティ、およびサポートサービスを搭載しています。セキュリティ修正プログラム：* grafana：ファイルの抜き取り（CVE-2018-19039）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：*この問題は、「rados_connect_timeout」が設定されているとき、OpenStack Cinder Backupで発見されました。通常、タイムアウトは無効になっています。クラスタの負荷が高かった場合はタイムアウトになり、セグメンテーション違反が発生する可能性があります。Red Hat Ceph Storageのる今回の更新プログラムでは、タイムアウトに達した場合にセグメンテーション違反が発生しなくなります。（BZ#1655685）*このリリースでは、「radosgw-admin」コマンドを使用してユーザーの統計をリセットすることができるようになります。以前のバージョンでは、ユーザーの記録された統計は実際の統計とは異なっていました。Cerad Object Gatewayユーザーを指定して「radosgw-admin」コマンドで「--reset-stats」オプションを使用しているとき、統計が再計算されます。（BZ#1673217）*重複チェックコードで、トリミングではなく重複インデックスが追加される原因となる矛盾が見つかりました。重複チェックコードのロジックが修正され、重複インデックスの追加とトリミングの一貫性が維持され、重複インデックスが正しくトリミングされるようになります。（BZ#1676709）*2つのバグが、ガベージコレクションリストの繰り返しロジックに見つかりました。これらのバグの1つでは、システムを再起動するとき競合状態となっていました。これらのバグにより、予想以上のワークロードが発生し、ガベージコレクション処理が停止していました。リストの切り捨てとエントリの削除に関する問題が修正され、ガベージコレクションの削除時にガベージコレクションの停止や読み取りが多いI/Oが発生する可能性が低くなります。（BZ#1680050）*バージョン管理が一時停止しているバケットのマルチサイト同期のバグのため、特定のオブジェクトバージョン管理属性が誤った値で上書きされていました。その結果、オブジェクトは同期に失敗し、無限に再試行しようとするため、それ以上の同期の進行がブロックされていました。この更新プログラムでは、同期プロセスによってバージョニング属性が上書きされることがなくなります。さらに、破損した属性は検出されて修復されるようになりました。その結果、オブジェクトはバージョニング一時停止バケット内で正しく同期されます。（BZ#1690927）*以前は、バケットインデックスには、実際のオブジェクトを表さない、以前のバグから生じた「誤ったエントリ」が含まれることがありました。その結果、そのようなバケットを削除するプロセスの間に、誤ったエントリに遭遇すると、プロセスは停止し、エラーコードを返しました。今回の更新プログラムでは、誤ったエントリが見つかったとき、Cephはそれを無視し、誤ったエントリを含むバケットの削除は期待通りに動作します。（BZ#1690930）

Red Hat Ceph Storage 3.2の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新プログラムがセキュリティに及ぼす影響の重要度を中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Ceph Storageは、スケーラブルかつオープンなソフトウェア定義型ストレージプラットフォームです。Cephストレージシステムの最も安定したバージョンに、Ceph管理プラットフォーム、展開ユーティリティ、およびサポートサービスを搭載しています。セキュリティ修正プログラム：* grafana：ファイルの抜き取り（CVE-2018-19039）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラムと機能拡張 このリリースでの変更点の詳細については、Red Hat Ceph Storage 3.2リリースノート（https://access.redhat.com/documentation/en-us/red_hat_ceph_storage/3.2 /html/ release_notes/index）を参照してください

現已提供適用於 Red Hat Enterprise Linux 7 之 Red Hat Ceph Storage 2.5 的 ceph 和 grafana 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從參照一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat Ceph Storage 是一個可擴充、開放式、軟體定義的儲存平台，結合了最穩定的 Ceph 儲存系統版本，並搭配 Ceph 管理平台、部署公用程式以及支援服務。安全性修正：* grafana：檔案外洩 (CVE-2018-19039) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。錯誤修正：* 此問題是因為在進行 OpenStack Cinder Backup 期間設定「rados_connect_timeout」時所發現的。正常情況下並不會啟用逾時。如果叢集工作負載過高，可能會達到逾時限制，造成分割錯誤。Red Hat Ceph Storage 套用此更新後，即使達到逾時限制也不會再發生分割錯誤。(BZ#1655685) * 採用此版本後，現在您可以使用「radosgw-admin」命令來重設使用者的統計資料。在舊版中，使用者的記錄統計資料與實際統計資料有所出入。若搭用「--reset-stats」選項與「radosgw-admin」命令，再加上指定 Ceph Object Gateway 使用者，統計資料將會重新計算。(BZ#1673217) * 在重複索引檢查程式碼中發現不一致，造成增加而非移除重複索引。重複索引檢查程式碼邏輯已修正完成，確保增加與移除重複索引的一致性，以利正確移除重複索引。(BZ#1676709) * 在記憶體回收清單反覆運算邏輯中發現兩個錯誤。其中一個錯誤是在系統重新啟動時會出現爭用情形。這些錯誤造成工作負載高於預期，使得記憶體回收處理程序變得遲緩。清單截斷和項目刪除的問題已修正完成，以利減少記憶體回收遲緩的發生機率，並避免記憶體回收移除期間的 I/O 讀取過高。(BZ#1680050) * 由於多網站的暫停版本控制儲桶同步化出現錯誤，若干物件的版本控制屬性被覆寫為錯誤值。因而造成物件同步化失敗且嘗試無止盡地重試，阻礙同步化繼續進行。套用此更新後，同步化處理程序即不會再覆寫版本控制屬性。此外，有問題的屬性現已全部偵測出來並修復完成。因此，暫停版本控制儲桶中的物件可正確同步化。(BZ#1690927) * 在舊版中，儲桶索引可能會包含不代表實際物件的「虛假項目」，主要是因為先前的錯誤才導致產生該項目。因此，在刪除這類儲桶的過程中，遇到虛假項目時會造成處理程序停止並傳回錯誤碼。套用此更新後，Ceph 會忽略遇到的虛假項目，照常刪除含有虛假項目的儲桶。(BZ#1690930)

現已提供適用於 Red Hat Ceph Storage 3.2 的更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從參照一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat Ceph Storage 是一個可擴充、開放式、軟體定義的儲存平台，結合了最穩定的 Ceph 儲存系統版本，並搭配 Ceph 管理平台、部署公用程式以及支援服務。安全性修正：* grafana：檔案外洩 (CVE-2018-19039) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。錯誤修正和增強功能：有關此版本中變更的詳細資訊，請參閱 Red Hat Ceph Storage 3.2 版本資訊，網址是：https://access.redhat.com/documentation/en-us/red_hat_ceph_storage/3.2 /html/ release_notes/index

ceph 和 grafana 的更新现可用于 Red Hat Enterprise Linux 7 的 Red Hat Ceph Storage 2.5。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Ceph Storage 是一种可扩展的开放式软件定义存储平台，将最稳定的 Ceph 存储系统版本与 Ceph 管理平台、部署实用工具以及支持服务相结合。安全修复：* grafana：文件渗漏 (CVE-2018-19039) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：* 当设置“rados_connect_timeout”时，在 OpenStack Cinder Backup 中发现了此问题。正常情况下并不会启用超时。如果群集工作负载过高，可能会达到超时，造成分段错误。通过 Red Hat Ceph Storage 更新，即使达到超时也不会再发生分段错误。(BZ#1655685) * 采用此版本后，现在您可以使用“radosgw-admin”命令来重置用户的统计资料。在旧版中，用户的记录统计数据与实际统计数据有所出入。当采用“--reset-stats”选项与“radosgw-admin”命令，以及指定 Ceph Object Gateway 用户时，统计数据将会重新计算。(BZ#1673217) * 在重复检查代码中发现不一致，造成添加而非修整重复索引。重复检查代码逻辑已修复，确保添加与修整重复索引的一致性，以正确修整重复索引。(BZ#1676709) * 在垃圾收集列表迭代逻辑中发现两个错误。其中一个错误是在系统重新启动时会出现争用条件。这些错误造成工作负载高于预期，使得垃圾收集进程变得迟缓。列表截断和项目删除的问题已修复，减少了垃圾收集迟缓的发生机率，并避免垃圾收集移除期间的 I/O 读取过高。(BZ#1680050) * 由于多网站的暂停版本控制存储桶同步化出现错误，若干对象的版本属性被覆盖为错误值。因而造成对象同步化失败且尝试无止尽地重试，阻碍同步化继续进行。更新后，同步化进程不会再覆盖版本控制属性。此外，现已检测出所有断开的属性并修复完成。因此，暂停版本控制存储桶中的对象正确同步化。(BZ#1690927) * 在旧版中，存储桶索引可能会包含不代表实际对象的“虚假条目”，因先前的错误导致产生。因此，在删除这类存储桶的过程中，遇到虚假条目时会造成进程停止并返回错误码。更新后，Ceph 会忽略遇到的虚假条目，并如预期般删除含有虚假条目的存储桶。(BZ#1690930)

更新现在可用于 Red Hat Ceph Storage 3.2。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Ceph Storage 是一种可扩展的开放式软件定义存储平台，将最稳定的 Ceph 存储系统版本与 Ceph 管理平台、部署实用工具以及支持服务相结合。安全修复：* grafana：文件渗漏 (CVE-2018-19039) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。错误修复和增强功能：有关此版本中变更的详细信息，请参阅 Red Hat Ceph Storage 3.2 版本信息，网址是：https://access.redhat.com/documentation/en-us/red_hat_ceph_storage/3.2 /html/ release_notes/index

ID	名前	製品	ファミリー	公開日	更新日	深刻度
124015	RHEL 7 : Red Hat Ceph Storage 2.5 (RHSA-2019:0747)	Nessus	Red Hat Local Security Checks	2019/4/12	2024/6/3	medium
124838	RHEL 7 : Red Hat Ceph Storage 3.2 (RHSA-2019:0911)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/6/3	medium
124015	RHEL 7：Red Hat Ceph Storage 2.5（RHSA-2019:0747）	Nessus	Red Hat Local Security Checks	2019/4/12	2024/6/3	medium
124838	RHEL 7：Red Hat Ceph Storage 3.2（RHSA-2019:0911）	Nessus	Red Hat Local Security Checks	2019/5/13	2024/6/3	medium
124015	RHEL 7：Red Hat Ceph Storage 2.5 (RHSA-2019:0747)	Nessus	Red Hat Local Security Checks	2019/4/12	2024/6/3	medium
124838	RHEL 7：Red Hat Ceph Storage 3.2 (RHSA-2019:0911)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/6/3	medium
124015	RHEL 7：Red Hat Ceph Storage 2.5 (RHSA-2019:0747)	Nessus	Red Hat Local Security Checks	2019/4/12	2024/6/3	medium
124838	RHEL 7：Red Hat Ceph Storage 3.2 (RHSA-2019:0911)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/6/3	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium