このrmt-serverへの更新では、以下の問題が修正されます：

  - バージョン 2.6.5

  - SCCリポジトリのURLが時間の経過とともに変化する潜在的なバグを解決しました。RMTは、以前の無効なリポジトリを削除し、正しいリポジトリを作成することで、自己回復するようになりました。

  - バージョン 2.6.4

  - /etc/rmt.confにWebサーバーの設定を追加します：スレッドの最小数と最大数、および/etc/rmt.confを通じて起動するWebサーバーワーカーの数を構成できるようになりました。

  - バージョン 2.6.3

  - カスタムリポジトリfriendly_idsにURLのMD5を使用する代わりに、RMTが名前からIDを構築するようになりました。

  - バージョン 2.6.2

  - タイムスタンプに基づいてRMTファイルのキャッシュを修正します：以前は、RMTは「If-Modified-Since」というヘッダー付きのGETリクエストをリポジトリサーバーに送信していましたが、その応答に304 (Not Modified)が含まれる場合は、ダウンロードする代わりにローカルキャッシュからファイルがコピーされていました。ただし、ローカルファイルのタイムスタンプが、リポジトリサーバー上の日付よりも後の日付に誤って変更されると、RMTに古いファイルが含まれることになるため、エラーが発生しました。現在、RMTはリポジトリサーバーに対してHEADリクエストを行い、「Last-Modified」ヘッダーを検査して、タイムスタンプの同一性を比較することで、ファイルをダウンロードするかキャッシュからコピーするかを決定します。



  - バージョン 2.6.1

  -「rmt-cli import repos」に相対パスが指定されるとコマンドが失敗する問題が修正されました。

  - バージョン 2.6.0

  - カスタムリポジトリのIDが使いやすくなりました：SCCおよびカスタムリポジトリの処理を簡素化するために、RMTのIDが使いやすくなりました。SCCリポジトリの場合は、以前と同じSCC IDです。カスタムリポジトリの場合は、ユーザーが指定するか、またはRMTによって生成されます（提供されたURLのMD5）。メリット：

  -「rmt-cli mirror repositories」が、カスタムリポジトリに対して機能するようになりました。

  - カスタムリポジトリIDがRMTインスタンス間で同一である可能性があります。

  -「rmt-cli」出力で「SCC ID」と「ID」を混同することがなくなりました。
    廃止の警告：

  - RMTは、カスタムリポジトリに対して以前とは異なるIDを使用するようになりました。RMTは引き続き古いIDをサポートしていますが、将来的な互換性を確保するために新しいIDの使用を開始することが推奨されます。

  - バージョン 2.5.20

  - railsが6.0.3.2から6.0.3.3に更新されました：

  - actionview（CVE-2020-15169）

  - バージョン 2.5.19

  - RMTでコマンド「rmt-cli system remove」を使用して、ローカルシステムを削除できるようになりました。

  - バージョン 2.5.18

  -「rmt-cli mirror」とそのサブコマンドの終了コードが修正されました。ミラーリング中にエラーが発生するたびに、1で終了するようになりました

  -「rtm-cli mirror」のメッセージロギングが改善されました。このコマンドでは、エラーを発生時に記録する代わりに、実行の最後にすべてのエラーをまとめます。ログメッセージに色が付けられ、失敗/成功を識別しやすくなりました。

  - バージョン 2.5.17

  - RMTは、インストーラー更新リポジトリをzypperサービスを通じてシステムに提供しなくなりました。このリポジトリは、インストールプロセス中に使用され、最新のインストールエクスペリエンスを提供するものの、すでにインストールされているシステムでは使用できないためです。

  - バージョン 2.5.16

  - RMTのrailsとpumaの依存関係が更新されました。

  - puma（CVE-2020-11076、CVE-2020-11077、CVE-2020-5249、CVE-2020-5247 CVE-2019-16770）

  - actionpack（CVE-2020-8185、 CVE-2020-8164、 CVE-2020-8166）

  - actionview（CVE-2020-8167、CVE-2020-5267、CVE-2019-5418、CVE-2019-5419）

  - activesupport（CVE-2020-8165）

  - railtie（CVE-2019-5420）

  - バージョン 2.5.15

  - RMTは、アクティベーションプロセス中にリポジトリが完全にミラーリングされているかどうかをチェックするようになりました。以前は、RMTはリポジトリのミラーリングが有効になっているかどうかのみをチェックしていましたが、実際にミラーリングされているかどうかはチェックしていませんでした。この場合、RMTは、システムが持っているとみなすリポジトリデータを提供できませんでした。

  - バージョン 2.5.14

  - デフォルトで「Installer-Updates」リポジトリを有効にします

  - thorでエラーが発生した場合の廃止の警告が修正されました。また、rmt-cliが、thorエラーに対して0を返す代わりに、1を返します。

  - バージョン 2.5.13

  - ミラーリング対象としてマークされていないリポジトリのローカルにミラーリングされたファイルが削除する、「rmt-cli repos clean」コマンドが追加されました。

  - 以前、RMTはデータベース内の重複排除されたファイルを追跡していませんでした。現在、「rmt-cli repos clean」に対応するために、RMTはミラーリングされたすべてのファイルを追跡します。

  - nginxリロードをnginx構成ファイルが含まれる構成パッケージに移動します。メインパッケージから無条件でnginxをリロードしません。

  - バージョン 2.5.12

  - バージョン 2.2.3への更新（CVE-2020-8184：
    bsc#1173351）

  - バージョン 5.2.4.3へのRailsの更新：

  - actionpack（CVE-2020-8164：bsc#1172177）

  - actionpack（CVE-2020-8166：bsc#1172182）

  - activesupport（CVE-2020-8165：bsc#1172186）

  - actionview（CVE-2020-8167：bsc#1172184）

  - バージョン 2.5.11

  - rmt-server-pubcloud：

  - SLES11 EOL

  - 利用可能なサブスクリプションに基づいた拡張アクティベーションの検証

  - 手動のインスタンス検証スクリプトが追加されました

  - バージョン 2.5.10

  - Ruby 2.7で実行するためにrmt-serverをサポートします（Factory / Tumbleweed）：

  - gemの「構成」バージョンを1.7.2から2.2.1に更新して、非互換性Ruby 2.7 OpenStructクラスを修正します。

  - gemの「ethon」バージョンも更新するために、gemの「typhoeus」バージョンを1.3.1から1.4.0に更新します。これにより、Ruby 2.7で「rb_safe_level」警告が発生しました 。

  - ソースコードのRuby 2.7警告「キーワード引数としての最後の引数」を修正します。

  - Ruby 2.7からの「廃止予定」警告を無効にします。Rails 5.1はRuby 2.7で大量の警告を生成します。これは主に、廃止された「Proc.newで所定のブロックをキャプチャしています」のためです。

  - OBSで構成されるディストリビューションのデフォルトRubyバージョンのみを考慮するように、RPM仕様を改善します。

  - RPM仕様を改善し、「バンドラー」に関するRuby 2.7の警告を削除します。

  - nginx/vhosts.dディレクトリを正しいサブパッケージに移動します。
    これらは、rmt-serverではなく、nginxとともに必要です。

  - 特にコンテナ化された使用の依存関係を修正します：

  - mariadbおよびnginxはハード要件ではなく、別のホストで実行できます

  - 一般的な依存関係を修正します：

  - systemdの順序がありませんでした

  - プレインストールにはshadowが必要です

  - バージョン 2.5.9

  - rmt-server-pubcloud：厳格な認証を強制します

  - バージョン 2.5.8

  - repomd_parser gemを使用して、リポジトリメタデータ解析コードを削除します。

この更新はSUSEからインポートされました：SLE-15-SP1: 更新プロジェクトを更新します。

リモートの Debian 9 ホストには、dla-3023 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - バージョン 3.12.2 および 4.3.1より前の Puma では、動作不良のクライアントがキープアライブリクエストを使用して、Puma のリアクターを独占し、サービス拒否攻撃を行う可能性があります。利用可能なスレッドよりも多くの Puma へのキープアライブ接続が開かれている場合、攻撃者がリクエストを非常に頻繁に送信すると、追加の接続が永続的に待機します。この脆弱性は、Puma 4.3.1 および 3.12.2 でパッチが適用されます。(CVE-2019-16770)

  - 4.3.2より前および3.12.3より前の Puma (RubyGem) では、Puma を使用するアプリケーションが応答ヘッダーに信頼できない入力を許可すると、攻撃者は改行文字 (すなわち `CR`, `LF` または `/r`, `/n`) を使ってヘッダーを終了させて、追加のヘッダーやまったく新しい応答本文など悪意のあるコンテンツを注入する可能性があります。この脆弱性は、HTTP 応答分割として知られています。それ自体は攻撃ではありませんが、応答分割はクロスサイトスクリプティング (XSS) など、他のいくつかの攻撃の媒介となるものです。これは、WEBrick Ruby Web サーバーのこの脆弱性を修正した CVE-2019-16254 に関連しています。バージョン 4.3.2 および 3.12.3 ですべてのヘッダーの行末をチェックし、それらの文字が含まれるヘッダーを拒否することにより、この問題は修正されました。
    (CVE-2020-5247)

  - Puma は、並列処理のために構築された Ruby/Rack Web サーバーです。「puma」バージョン「5.6.2」より前では、「puma」が応答本文で「close」を呼び出さないときがあります。バージョン「7.0.2.2」より前の Rails では、「CurrentAttributes」実装の正しい機能は閉じられている応答本文に依存していました。これら 2 つの動作の組み合わせ (Puma が本文を閉じない + Rails の Executor 実装) により、情報漏洩が発生します。この問題は Puma バージョン 5.6.2 および 4.3.11 で修正されています。この問題は Rails バージョン 7.02.2、6.1.4.6、6.0.4.6、および 5.2.6.2 で修正されています。パッチを適用した Rails _or_ Puma バージョンにアップグレードすると、この脆弱性が修正されます。(CVE-2022-23634)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このrmt-serverへの更新では、以下の問題が修正されます：

バージョン 2.6.5

SCCリポジトリのURLが時間の経過とともに変化する潜在的なバグを解決しました。RMTは、以前の無効なリポジトリを削除し、正しいリポジトリを作成することで、自己回復するようになりました。

バージョン 2.6.4

/etc/rmt.confにWebサーバーの設定を追加します：スレッドの最小数と最大数、および/etc/rmt.confを通じて起動するWebサーバーワーカーの数を構成できるようになりました。

バージョン 2.6.3

カスタムリポジトリfriendly_idsにURLのMD5を使用する代わりに、RMTが名前からIDを構築するようになりました。

バージョン 2.6.2

タイムスタンプに基づいてRMTファイルのキャッシュを修正します：以前は、RMTは「If-Modified-Since」というヘッダー付きのGETリクエストをリポジトリサーバーに送信していましたが、その応答に304 (Not Modified)が含まれる場合は、ダウンロードする代わりにローカルキャッシュからファイルがコピーされていました。ただし、ローカルファイルのタイムスタンプが、リポジトリサーバー上の日付よりも後の日付に誤って変更されると、RMTに古いファイルが含まれることになるため、エラーが発生しました。現在、RMTはリポジトリサーバーに対してHEADリクエストを行い、「Last-Modified」ヘッダーを検査して、タイムスタンプの同一性を比較することで、ファイルをダウンロードするかキャッシュからコピーするかを決定します。

バージョン 2.6.1

「rmt-cli import repos」に相対パスが指定されるとコマンドが失敗する問題が修正されました。

バージョン 2.6.0

カスタムリポジトリのIDが使いやすくなりました：SCCおよびカスタムリポジトリの処理を簡素化するために、RMTのIDが使いやすくなりました。SCCリポジトリの場合は、以前と同じSCC IDです。カスタムリポジトリの場合は、ユーザーが指定するか、またはRMTによって生成されます（提供されたURLのMD5）。メリット：

  -「rmt-cli mirror repositories」が、カスタムリポジトリに対して機能するようになりました。

  - カスタムリポジトリIDがRMTインスタンス間で同一である可能性があります。

  -「rmt-cli」出力で「SCC ID」と「ID」を混同することがなくなりました。
    廃止の警告：

  - RMTは、カスタムリポジトリに対して以前とは異なるIDを使用するようになりました。RMTは引き続き古いIDをサポートしていますが、将来的な互換性を確保するために新しいIDの使用を開始することが推奨されます。

バージョン 2.5.20

railsが6.0.3.2から6.0.3.3に更新されました：

  - actionview（CVE-2020-15169）

バージョン 2.5.19

RMTでコマンド「rmt-cli system remove」を使用して、ローカルシステムを削除できるようになりました。

バージョン 2.5.18

「rmt-cli mirror」とそのサブコマンドの終了コードが修正されました。ミラーリング中にエラーが発生するたびに、1で終了するようになりました

「rtm-cli mirror」のメッセージロギングが改善されました。このコマンドでは、エラーを発生時に記録する代わりに、実行の最後にすべてのエラーをまとめます。ログメッセージに色が付けられ、失敗/成功を識別しやすくなりました。

バージョン 2.5.17

RMTは、インストーラー更新リポジトリをzypperサービスを通じてシステムに提供しなくなりました。このリポジトリは、インストールプロセス中に使用され、最新のインストールエクスペリエンスを提供するものの、すでにインストールされているシステムでは使用できないためです。

バージョン 2.5.16

RMTのrailsとpumaの依存関係が更新されました。

  - puma（CVE-2020-11076、CVE-2020-11077、CVE-2020-5249、CVE-2020-5247 CVE-2019-16770）

  - actionpack（CVE-2020-8185、 CVE-2020-8164、 CVE-2020-8166）

  - actionview（CVE-2020-8167、CVE-2020-5267、CVE-2019-5418、CVE-2019-5419）

  - activesupport（CVE-2020-8165）

  - railtie（CVE-2019-5420）

バージョン 2.5.15

RMTは、アクティベーションプロセス中にリポジトリが完全にミラーリングされているかどうかをチェックするようになりました。以前は、RMTはリポジトリのミラーリングが有効になっているかどうかのみをチェックしていましたが、実際にミラーリングされているかどうかはチェックしていませんでした。
この場合、RMTは、システムが持っているとみなすリポジトリデータを提供できませんでした。

バージョン 2.5.14

デフォルトで「Installer-Updates」リポジトリを有効にします

thorでエラーが発生した場合の廃止の警告が修正されました。また、rmt-cliが、thorエラーに対して0を返す代わりに、1を返します。

バージョン 2.5.13

ミラーリング対象としてマークされていない、リポジトリのローカルにミラーリングされたファイルを削除する「rmt-cli repos clean」コマンドが追加されました。

以前、RMTはデータベース内の重複排除されたファイルを追跡していませんでした。現在、「rmt-cli repos clean」に対応するために、RMTはミラーリングされたすべてのファイルを追跡します。

nginxリロードをnginx構成ファイルが含まれる構成パッケージに移動します。メインパッケージから無条件でnginxをリロードしません。

バージョン 2.5.12

バージョン2.2.3へのrackの更新（CVE-2020-8184：bsc#1173351）

バージョン5.2.4.3へのRailsの更新：

  - actionpack（CVE-2020-8164：bsc#1172177）

  - actionpack（CVE-2020-8166：bsc#1172182）

  - activesupport（CVE-2020-8165：bsc#1172186）

  - actionview（CVE-2020-8167：bsc#1172184）

バージョン 2.5.11

rmt-server-pubcloud ：

  - SLES11 EOL

  - 利用可能なサブスクリプションに基づいた拡張アクティベーションの検証

  - 手動のインスタンス検証スクリプトが追加されました

バージョン 2.5.10

Ruby 2.7で実行するためにrmt-serverをサポートします（Factory / Tumbleweed）：

  - gemの「構成」バージョンを1.7.2から2.2.1に更新して、非互換性Ruby 2.7 OpenStructクラスを修正します。

  - gemの「ethon」バージョンも更新するために、gemの「typhoeus」バージョンを1.3.1から1.4.0に更新します。これにより、Ruby 2.7で「rb_safe_level」警告が発生しました 。

  - ソースコードのRuby 2.7警告「キーワード引数としての最後の引数」を修正します。

  - Ruby 2.7からの「廃止予定」警告を無効にします。Rails 5.1はRuby 2.7で大量の警告を生成します。これは主に、廃止された「Proc.newで所定のブロックをキャプチャしています」のためです。

  - OBSで構成されるディストリビューションのデフォルトRubyバージョンのみを考慮するように、RPM仕様を改善します。

  - RPM仕様を改善し、「バンドラー」に関するRuby 2.7の警告を削除します。

nginx/vhosts.dディレクトリを正しいサブパッケージに移動します。これらは、rmt-serverではなく、nginxとともに必要です。

特にコンテナ化された使用の依存関係を修正します：

  - mariadbおよびnginxはハード要件ではなく、別のホストで実行できます

一般的な依存関係を修正します：

  - systemdの順序がありませんでした

  - プレインストールにはshadowが必要です

バージョン 2.5.9

rmt-server-pubcloud：厳格な認証を強制します

バージョン 2.5.8

repomd_parser gemを使用して、リポジトリメタデータ解析コードを削除します。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このrmt-serverへの更新では、以下の問題が修正されます：

バージョン 2.6.5 に更新してください：

  - SCCリポジトリのURLが時間の経過とともに変化する潜在的なバグを解決しました。RMTは、以前の無効なリポジトリを削除し、正しいリポジトリを作成することで、自己回復するようになりました。

  - /etc/rmt.confにWebサーバーの設定を追加します：スレッドの最小数と最大数、および/etc/rmt.confを通じて起動するWebサーバーワーカーの数を構成できるようになりました。

  - カスタムリポジトリfriendly_idsにURLのMD5を使用する代わりに、RMTが名前からIDを構築するようになりました。

  - タイムスタンプに基づいてRMTファイルのキャッシュを修正します：以前は、RMTは「If-Modified-Since」というヘッダー付きのGETリクエストをリポジトリサーバーに送信していましたが、その応答に304 (Not Modified)が含まれる場合は、ダウンロードする代わりにローカルキャッシュからファイルがコピーされていました。ただし、ローカルファイルのタイムスタンプが、リポジトリサーバー上の日付よりも後の日付に誤って変更されると、RMTに古いファイルが含まれることになるため、エラーが発生しました。現在、RMTはリポジトリサーバーに対してHEADリクエストを行い、「Last-Modified」ヘッダーを検査して、タイムスタンプの同一性を比較することで、ファイルをダウンロードするかキャッシュからコピーするかを決定します。

  -「rmt-cli import repos」に相対パスが指定されるとコマンドが失敗する問題が修正されました。

  - カスタムリポジトリのIDが使いやすくなりました：SCCおよびカスタムリポジトリの処理を簡素化するために、RMTのIDが使いやすくなりました。SCCリポジトリの場合は、以前と同じSCC IDです。カスタムリポジトリの場合は、ユーザーが指定するか、またはRMTによって生成されます（提供されたURLのMD5）。メリット：

  -「rmt-cli mirror repositories」が、カスタムリポジトリに対して機能するようになりました。

  - カスタムリポジトリIDがRMTインスタンス間で同一である可能性があります。

  -「rmt-cli」出力で「SCC ID」と「ID」を混同することがなくなりました。
    廃止の警告：

  - RMTは、カスタムリポジトリに対して以前とは異なるIDを使用するようになりました。RMTは引き続き古いIDをサポートしていますが、将来的な互換性を確保するために新しいIDの使用を開始することが推奨されます。

  - セキュリティ修正のためにrailsとpumaの依存関係が更新されました。

この更新はSUSEからインポートされました：SLE-15-SP2: 更新プロジェクトを更新します。

このrmt-serverへの更新では、以下の問題が修正されます：

バージョン2.6.5への更新：SCCリポジトリのURLが時間の経過とともに変化する潜在的なバグを解決しました。RMTは、以前の無効なリポジトリを削除し、正しいリポジトリを作成することで、自己回復するようになりました。

/etc/rmt.confにWebサーバーの設定を追加します：スレッドの最小数と最大数、および/etc/rmt.confを通じて起動するWebサーバーワーカーの数を構成できるようになりました。

カスタムリポジトリfriendly_idsにURLのMD5を使用する代わりに、RMTが名前からIDを構築するようになりました。

タイムスタンプに基づいてRMTファイルのキャッシュを修正します：以前は、RMTは「If-Modified-Since」というヘッダー付きのGETリクエストをリポジトリサーバーに送信していましたが、その応答に304 (Not Modified)が含まれる場合は、ダウンロードする代わりにローカルキャッシュからファイルがコピーされていました。ただし、ローカルファイルのタイムスタンプが、リポジトリサーバー上の日付よりも後の日付に誤って変更されると、RMTに古いファイルが含まれることになるため、エラーが発生しました。現在、RMTはリポジトリサーバーに対してHEADリクエストを行い、「Last-Modified」ヘッダーを検査して、タイムスタンプの同一性を比較することで、ファイルをダウンロードするかキャッシュからコピーするかを決定します。

「rmt-cli import repos」に相対パスが指定されるとコマンドが失敗する問題が修正されました。

カスタムリポジトリのIDが使いやすくなりました：SCCおよびカスタムリポジトリの処理を簡素化するために、RMTのIDが使いやすくなりました。SCCリポジトリの場合は、以前と同じSCC IDです。カスタムリポジトリの場合は、ユーザーが指定するか、またはRMTによって生成されます（提供されたURLのMD5）。メリット：

  -「rmt-cli mirror repositories」が、カスタムリポジトリに対して機能するようになりました。

  - カスタムリポジトリIDがRMTインスタンス間で同一である可能性があります。

  -「rmt-cli」出力で「SCC ID」と「ID」を混同することがなくなりました。
    廃止の警告：

  - RMTは、カスタムリポジトリに対して以前とは異なるIDを使用するようになりました。RMTは引き続き古いIDをサポートしていますが、将来的な互換性を確保するために新しいIDの使用を開始することが推奨されます。

セキュリティ修正のためにrailsとpumaの依存関係が更新されました。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
143225	openSUSEセキュリティ更新プログラム：rmt-server（openSUSE-2020-2000）	Nessus	SuSE Local Security Checks	2020/11/24	2025/7/7	critical
161515	Debian DLA-3023-1: puma - LTS のセキュリティ更新	Nessus	Debian Local Security Checks	2022/5/26	2025/1/24	high
143622	SUSE SLES15セキュリティ更新プログラム：rmt-server（SUSE-SU-2020:3147-1）	Nessus	SuSE Local Security Checks	2020/12/9	2025/7/7	critical
143623	SUSE SLES15セキュリティ更新プログラム：rmt-server（SUSE-SU-2020:3160-1）	Nessus	SuSE Local Security Checks	2020/12/9	2025/7/7	critical
143190	openSUSEセキュリティ更新プログラム：rmt-server（openSUSE-2020-1993）	Nessus	SuSE Local Security Checks	2020/11/23	2025/7/7	critical
143751	SUSE SLES15セキュリティ更新プログラム：rmt-server（SUSE-SU-2020:3036-1）	Nessus	SuSE Local Security Checks	2020/12/9	2025/7/7	critical

検出

プラグインの検索

critical

high

critical

critical

critical

critical