1 つのセキュリティ問題、複数のバグを修正し、多様な拡張機能を追加する更新済みの qpid パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Apache Qpid は、信頼できる、クロスプラットフォームの非同期メッセージングシステムであり、複数の共通プログラミング言語で Advanced Message Queuing Protocol（AMQP）をサポートしています。

Qpid デーモン（qpidd）が、クライアントからの接続数を制限していなかったことが判明しました。悪意のあるクライアントがこの欠陥を利用して、過剰な数の接続を開くことで、他の正当なクライアントが qpidd と接続することを妨げる可能性があります。（CVE-2012-2145）

CVE-2012-2145 を解決するため、新しい qpidd 構成オプションが導入されました：max-negotiate-time は、最初にプロトコルのネゴシエーションが成功しなければならない時間を指定し、connection-limit-per-user および connection-limit-per-ip はユーザーやクライアントホスト IP 当たりの接続数を制限するために使用することができます。詳細については、 qpidd マニュアルページを参照してください。

さらに、qpid-cpp、qpid-qmf、qpid-tools、および python-qpid パッケージが Upstream バージョン 0.14 にアップグレードされ、Red Hat Enterprise MRG 2.2 をサポートするようになり、多数のバグ修正や以前のバージョンに対する強化が行われました。（BZ#840053、BZ#840055、BZ#840056、BZ#840058）

これらの問題を修正し、これらの拡張機能を実装するためにも、qpid ユーザーはすべて、更新パッケージにアップグレードすることが推奨されています。

Apache Qpid は、信頼できる、クロスプラットフォームの非同期メッセージングシステムであり、複数の共通プログラミング言語で Advanced Message Queuing Protocol（AMQP）をサポートしています。

Qpid デーモン（qpidd）が、クライアントからの接続数を制限していなかったことが判明しました。悪意のあるクライアントがこの欠陥を利用して、過剰な数の接続を開くことで、他の正当なクライアントが qpidd と接続することを妨げる可能性があります。（CVE-2012-2145）

CVE-2012-2145 を解決するため、新しい qpidd 構成オプションが導入されました：max-negotiate-time は、最初にプロトコルのネゴシエーションが成功しなければならない時間を指定し、connection-limit-per-user および connection-limit-per-ip はユーザーやクライアントホスト IP 当たりの接続数を制限するために使用することができます。詳細については、 qpidd マニュアルページを参照してください。

さらに、qpid-cpp、qpid-qmf、qpid-tools、および python-qpid パッケージが Upstream バージョン 0.14 にアップグレードされ、多数のバグ修正や以前のバージョンに対する機能強化が行われました。

これらの問題を修正し、これらの拡張機能を実装するためにも、qpid ユーザーはすべて、更新パッケージにアップグレードすることが推奨されています。

依存関係解決のために、saslwrapper、saslwrapper-devel、python-saslwrapper、および ruby-saslwrapper がこの更新に追加されました。

リモートの Oracle Linux 6 ホストに、ELSA-2012-1269 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    python-qpid [0.14-11]
    - BZs825078
    - 解決 4: rhbz#840053

    qpid-cpp [0.14-22.0.1.el6_3]
    - 製品に中立になるように specfile のサマリーと説明を更新します

    [0.14-22]
    - BZs609685、849654、854004

    [0.14-21]
    - BZ831365、840982、844618

    [0.14-20]
    - BZ683711、689408、825078、834608、841196、841488

    [0.14-19]
    - BZ609685、683711、693444、707682、729311、801465、808090、809357、811481、817283、826989、831365、835628

    [0.14-18]
    - BZ609685、729311、808090、809357、817283

    qpid-qmf [0.14-14.0.1.el6_3]
    - ビルドベンダーを変更

    [0.14-14]
    - BZ693845、773700、806869、847331

    qpid-tools [0.14-6]
    - 解決 4: rhbz#840058
    - 修正済みバグ 850111 - qpid-stat -c mech 列データの欠落

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの MiracleLinux 4 ホストには、AXSA:2012-1014:04 アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。

    qpid-toolsApache Qpid ブローカーおよびクライアント用の管理および診断ツール。
    qpid-qmf-Qpid メッセージングにレイヤーされた拡張可能な管理フレームワーク qpid-cppAMQP メッセージングのトランスポートとして SSL をサポートする Qpid デーモンプラグイン。
    python-qpidAMQP 用の Apache Qpid Python クライアントライブラリ。
    このリリースで修正されたセキュリティ問題
    CVE-2012-2145 Apache Qpid 0.17 およびそれ以前は、受信クライアント接続を適切に制限しません。これにより、リモートの攻撃者が、大量の未完了の接続を介してサービス拒否ファイル記述子の消費を引き起こすことができます。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

2 つのセキュリティ問題と複数のバグを修正する、多様な拡張機能を追加する、更新済みの Messaging コンポーネントパッケージが、Red Hat Enterprise Linux 5 用の Red Hat Enterprise MRG 2.2 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

MRG Messaging は、AMQP（Advanced Message Queuing Protocol）に基づいた Linux 用の高速かつ信頼できるメッセージングディストリビューションです。このプロトコルは、標準デバイスとして利用できるミッションクリティカルなメッセージングを幅広く行えるようにし、プラットフォーム、プログラミング言語、ベンダーにおいて相互運用可能なエンタープライズメッセージングを実現するためのオープンプロトコル規格です。MRG Messaging には、AMQP 0-10 メッセージングブローカー、C++ 用 AMQP 0-10 クライアントライブラリ、 Java JMS、Python、ならびに永続化ライブラリおよび管理ツールが含まれています。

Apache Qpid デーモン（qpidd）が、クライアントからの接続数を制限していなかったことが判明しました。悪意のあるクライアントがこの欠陥を利用して、過剰な数の接続を開くことで、他の正当なクライアントが qpidd と接続することを妨げる可能性があります。（CVE-2012-2145）

CVE-2012-2145 を解決するため、新しい qpidd 構成オプションが導入されました：max-negotiate-time は、最初にプロトコルのネゴシエーションが成功しなければならない時間を指定し、connection-limit-per-user および connection-limit-per-ip はユーザーやクライアントホスト IP 当たりの接続数を制限するために使用することができます。詳細については、 qpidd マニュアルページを参照してください。

qpidd が、新しいブローカーがクラスターに参加するときに作成される「キャッチアップ」シャドー接続に、認証を必要としていないことが判明しました。悪意のあるクライアントが、この欠陥を利用して、クライアント認証をバイパスする可能性があります。（CVE-2012-3467）

また、この更新では、複数のバグを修正し、拡張機能を追加しています。
これらの変更に関するドキュメントは、「参照」セクションでリンクされているテクニカルノートドキュメントから、間もなく入手できるようになります。

Red Hat Enterprise MRG 2.2 の Messaging 機能の全ユーザーは、 Red Hat Enterprise MRG 2 テクニカルノートで言及されている拡張機能を追加するこれらの更新済みのパッケージへアップグレードし、この問題を解決することが推奨されます。更新済みのパッケージをインストールした後、すべてのノード上で「service qpidd stop」を実行するか、クラスターノードの 1 つで「qpid-cluster --all-stop」を実行してクラスターを停止させます。更新を有効にするには、停止後に、すべてのノード上で「service qpidd start」を実行してクラスターを再起動させます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
62217	CentOS 6：qpid（CESA-2012:1269）	Nessus	CentOS Local Security Checks	2012/9/21	2021/1/4	medium
62218	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の qpid	Nessus	Scientific Linux Local Security Checks	2012/9/21	2021/1/14	medium
68626	Oracle Linux 6：qpid（ELSA-2012-1269）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	medium
284341	MiracleLinux 4qpid-tools-0.14-6.AXS4、qpid-qmf-0.14-14.AXS4、qpid-cpp-0.14-22.AXS4、python-qpid-0.14-11.AXS4AXSA:2012-1014:04 )	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	medium
62209	RHEL 6：qpid（RHSA-2012:1269）	Nessus	Red Hat Local Security Checks	2012/9/20	2024/4/27	medium
76648	RHEL 5：MRG Messaging（RHSA-2012:1277）	Nessus	Red Hat Local Security Checks	2014/7/22	2024/4/27	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium