1 つのセキュリティ問題を修正する更新済みの conga パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションのCVEリンクで確認できます。

conga パッケージは、リモートクラスターとストレージ管理向けのウェブベース管理ツールを提供します。

Conga のウェブベース管理アプリケーションである luci に、権限昇格の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して管理アクセスを獲得し、luciアプリケーションのコンテンツの読み取り、作成、改善ができる可能性があります。（CVE-2011-0720）

Conga のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、更新パッケージのインストール後、luci を再起動（「service luci restart」）する必要があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Plone の 2.5 ～ 4.0の詳細不明な脆弱性により、リモートの攻撃者が管理者アクセス権を取得したり、任意のコンテンツを読み取ったり作成したり、不明なベクトルを通じてサイトスキンを変更したりすることができます。 （CVE-2011-0720）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Conga のウェブベース管理アプリケーションである luci に、権限昇格の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して管理アクセスを獲得し、luci アプリケーションのコンテンツの読み取り、作成、改善ができる可能性があります。（CVE-2011-0720）

Plone 開発者による報告：

これは権限昇格攻撃であり、匿名ユーザーが使用すると、Plone サイトの管理コントロールにアクセスし、未公開のコンテンツを表示し、新しいコンテンツを作成し、サイトのスキンを改ざんすることができます。基盤システムへのアクセスを防止しているサンドボックスは、引き続き機能しており、同じ Zope インスタンスで実行中のその他のアプリケーションにアクセスすることは認めません。

リモートホストにインストールされている Plone のバージョンは、 2.5.5 より前、 3.x3.3.6 より前、または 4.x4.0.4 より前です。したがって、権限の昇格の脆弱性の影響を受けます。認証されていないリモートの攻撃者がこれを悪用して、アプリケーションへの管理者アクセス権を取得する可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。ベンダーのホットフィックス(PloneHotfix20110720)が、バージョンをアップグレードすることなくこれを修正できるため、このプラグインは Paranoid モードで実行している場合にのみレポートします。

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2011:0394 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    conga パッケージは、リモートクラスターとストレージ管理向けのウェブベース管理ツールを提供します。

    Conga のウェブベース管理アプリケーションである luci に、権限昇格の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して管理アクセスを獲得し、luciアプリケーションのコンテンツの読み取り、作成、改善ができる可能性があります。（CVE-2011-0720）

    Conga のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、更新パッケージのインストール後、luci を再起動 (service luci restar) する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにあるバージョンの Plone は、いくつかの機密性の高い関数へのアクセスに対する認証の要求に失敗します。

Plone は、Python オブジェクトとそのメソッドを URL にマッピングする Zope の上にビルドされています。メソッドは、ログインアカウントや特定の権限レベルを要求するなどのセキュリティ制限をこれらに適用してアクセスを制限している可能性があります。インストールされているバージョンの Plone は、コンテンツおよびユーザーを追加、削除、および変更することを可能にする複数のメソッドに対するアクセスを許可しています。

conga パッケージは、リモートクラスターとストレージ管理向けのウェブベース管理ツールを提供します。

Conga のウェブベース管理アプリケーションである luci に、権限昇格の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して管理アクセスを獲得し、luci アプリケーションのコンテンツの読み取り、作成、改善ができる可能性があります。（CVE-2011-0720）

Conga のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、更新パッケージのインストール後、luci を再起動（「service luci restart」）する必要があります。

SL 4x

変更内容の説明：


[0.12.2-24.0.1.el5_6.1]
- conga-enterprise.patch を追加しました
- OEL5 をサポートするために conga-enterprise-Carthage.patch を追加しました
- luci_db.tar.gz の Data.fs を再作成しました
- conga-0.12.2.tar.gz の Redhat のロゴ画像を置き換えました

[0.12.2-24.1]
- bz680515 を修正（CVE-2011-0720 plone：認証されていないリモート管理者アクセス）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
53504	CentOS 5：conga（CESA-2011: 0394）	Nessus	CentOS Local Security Checks	2011/4/21	2021/1/4	high
217390	Linux Distros のパッチ未適用の脆弱性: CVE-2011-0720	Nessus	Misc.	2025/3/3	2026/1/28	critical
60997	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の conga	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
56079	FreeBSD：plone -- リモートのセキュリティバイパス（7c492ea2-3566-11e0-8e81-0022190034c0）	Nessus	FreeBSD Local Security Checks	2011/9/6	2021/1/6	high
329012	Plone < 2.5.5 / 3.x < 3.3.6 / 4.x < 4.0.4 権限昇格(HF 20110720)	Nessus	Misc.	2026/7/22	2026/7/23	critical
63975	RHEL 5 : conga (RHSA-2011:0394)	Nessus	Red Hat Local Security Checks	2013/1/24	2025/3/24	high
53546	Plone のセキュリティバイパス	Nessus	CGI abuses	2011/4/25	2026/1/30	critical
60996	Scientific Linux セキュリティ更新：SL4.x i386/x86_64 の conga	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
68240	Oracle Linux 5：conga（ELSA-2011-0394）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high

検出

プラグインの検索

high

critical

high

high

critical

high

critical

high

high