リモートの Oracle Linux 6 ホストに、ELSA-2011-1533 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 2.1.4 以前の FreeIPA の管理インターフェースでのクロスサイトリクエスト偽造 (CSRF) 脆弱性により、リモートの攻撃者は、設定変更を行うリクエストに対する管理者の認証をハイジャックできます。(CVE-2011-3636)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

この Identity Management Application は、従来型の環境とクラウドベースのエンタープライズ環境の両方に対する、一元化された認証、ID 管理、および承認のソリューションです。これは、Upstream Directory Server、MIT Kerberos、Upstream Certificate System、NTP、および DNS のコンポーネントが統合されたものです。Web ブラウザおよびコマンドラインインターフェイスが提供されます。管理ツールによって、管理者は迅速にインストールと設定を行い、ドメインコントローラーのグループを管理して大規模な Linux および UNIX 配備の認証や ID 管理の要件を満たすことができます。

このパッケージに、クロスサイトリクエスト偽造（CSRF）の欠陥が見つかりました。リモートの攻撃者が、管理 Web インターフェイスにログインしているユーザーを騙して、特別に細工された URL にアクセスさせることができた場合、ログインしているユーザーの権限で構成変更を行う可能性があります。（CVE-2011-3636）

CVE-2011-3636 の修正に必要な変更により、クライアントシステムが更新済みサーバーと通信を行うためには、クライアントツールを更新する必要があります。新しいクライアントシステムでは、更新済みの ipa-client パッケージがインストールされ、登録されている必要があります。既に登録済みであるクライアントシステムでは、更新済みの certmonger パッケージをインストールし、システムの証明書を更新できるようにする必要があります。システムの証明書は、デフォルトで 2 年有効である必要があります。

この更新には、いくつかのバグの修正が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。

このソフトウェアのユーザーは、これらの問題を修正する、これらの更新済みパッケージにアップグレードする必要があります。

このパッケージを古い SL システムにインストールできるように、セキュリティリポジトリに多数のパッケージが追加されました。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2011:1533 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Identity Management は、従来型およびクラウドベースの両方のエンタープライズ環境のために一元化された認証、ID 管理、および承認の機能を提供するソリューションです。これは、Red Hat Directory Server、MIT Kerberos、Red Hat Certificate System、NTP、DNS のコンポートネントを統合します。Web ブラウザおよびコマンドラインインターフェースが提供されます。管理ツールによって、管理者は迅速にインストールと設定を行い、ドメインコントローラーのグループを管理して大規模な Linux および UNIX 配備の認証や ID 管理の要件を満たすことができます。

    Red Hat Identity Management に、クロスサイトリクエスト偽造（CSRF）の欠陥が見つかりました。リモートの攻撃者は、管理 Web インターフェースにログインしているユーザーを騙して、特別に細工された URL を閲覧させることができる場合、ログインしているユーザーの権限で、Red Hat Identity Management の構成変更を行う可能性があります。(CVE-2011-3636)

    CVE-2011-3636 を修正するのに必要な変更により、クライアントのシステムが更新済みの Red Hat Identity Management サーバーとやりとりするには、クライアントツールを更新する必要があります。新しいクライアントシステムでは、更新済みの ipa-client パッケージがインストールされ、登録されている必要があります。既に登録済みであるクライアントシステムでは、更新済みの certmonger パッケージをインストールし、システムの証明書を更新できるようにする必要があります。システムの証明書は、デフォルトで 2 年有効である必要があります。

    Red Hat Enterprise Linux 6 用の更新済みの ipa-client および certmonger パッケージが、Red Hat Enterprise Linux 6.2 の一部としてリリースされました。今後の更新では、Red Hat Enterprise Linux 5 用の更新済みパッケージを提供します。

    この更新には、いくつかのバグの修正が含まれています。スペースの関係上、このアドバイザリにこれらの変更がすべて記載されているわけではありません。当該変更の最も重要な情報については、「参照」セクションにリンクがある Red Hat Enterprise Linux 6.2 テクニカルノートを参照してください。

    Red Hat Identity Management のユーザーはこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
181122	Oracle Linux 6 : ipa (ELSA-2011-1533)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
61188	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の ipa	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
57014	RHEL 6 : ipa (RHSA-2011:1533)	Nessus	Red Hat Local Security Checks	2011/12/6	2025/3/20	high

検出

プラグインの検索

high

medium

high