An updated pki-tps package that fixes two security issues is now available for Red Hat Certificate System 8.1.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat Certificate System (RHCS) is an enterprise software system designed to manage enterprise Public Key Infrastructure (PKI) deployments. The Token Processing System (TPS) is a PKI subsystem that acts as a Registration Authority (RA) for authenticating and processing enrollment requests, PIN reset requests, and formatting requests from the Enterprise Security Client.

A format string flaw was found in the TPS subsystem. An authenticated Certificate System user could use this flaw to crash the Apache HTTP Server child process, possibly interrupting the processing of other users' requests, or possibly execute arbitrary code with pkiuser privileges. (CVE-2013-1886)

A cross-site scripting flaw was discovered in the TPS subsystem. An attacker could use this flaw to perform a cross-site scripting (XSS) attack against victims using Certificate System's web interface.
(CVE-2013-1885)

All users of Red Hat Certificate System are advised to upgrade to this updated package, which corrects these issues. After installing this update, all Red Hat Certificate System subsystems must be restarted ('/etc/init.d /[instance-name] restart') for the update to take effect.

Bugzilla Bug #923039 - (CVE-2013-1885) Certificate System: pki-tps XSS flaw, Bugzilla Bug #924870 - (CVE-2013-1886) Certificate System:
pki-tps format string injection

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Bugzilla 缺陷 #923039 - (CVE-2013-1885) Certificate System：pki-tps XSS 缺陷，Bugzilla 缺陷 #924870 - (CVE-2013-1886) Certificate System：pki-tps 格式字符串注入

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

2 つのセキュリティ問題を修正する更新済みの pki-tps パッケージが、Red Hat Certificate System 8.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Certificate System（RHCS）は、エンタープライズ公開鍵インフラストラクチャ（PKI）のデプロイメントを管理するために設計された、エンタープライズソフトウェアシステムです。Token Processing System（TPS）は、登録局（RA）として機能する PKI サブシステムです。これは、Enterprise Security Client からの参加リクエスト、PIN リセットリクエスト、およびフォーマットリクエストの認証と処理を行います。

TPS サブシステムに書式文字列の欠陥が見つかりました。認証された Certificate System ユーザーが、この欠陥を利用して、Apache HTTP Server の子プロセスをクラッシュさせたり、その他のユーザーのリクエストの処理を中断させたり、pkiuser の権限で任意のコードを実行したりする可能性があります。（CVE-2013-1886）

TPS サブシステムにクロスサイトスクリプティングの欠陥が発見されました。攻撃者がこの欠陥を利用して、Certificate System の Web インターフェイスを使用している被害者に対してクロスサイトスクリプティング攻撃（XSS）を行う可能性があります。
（CVE-2013-1885）

Red Hat Certificate System の全ユーザーは、この更新済みのパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新をインストールした後に、全ての Red Hat Certificate System およびサブシステムは、更新を有効にするために再起動する必要があります（「/etc/init.d/[instance-name] restart」）。

Bugzilla バグ #923039 - （CVE-2013-1885）証明書システム：pki-tps XSS の欠陥、Bugzilla バグ #924870 - （CVE-2013-1886）認証システム：
pki-tps 書式文字列インジェクション

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

現已提供適用於 Red Hat Certificate System 8.1 的更新版 pki-tps 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Certificate System (RHCS) 是一種企業級軟體系統，專為管理企業公開金鑰基礎結構 (PKI) 部署而設計。Token Processing System (TPS) 是一種做為登錄授權單位 (RA) 執行的 PKI 子系統，可用於驗證和處理註冊要求、PIN 重設要求，以及來自 Enterprise Security Client 的格式化要求。

在 TPS 子系統中發現一個格式字串瑕疵。經驗證的憑證系統使用者可利用此瑕疵損毀 Apache HTTP Server 子處理程序，並可能中斷處理其他使用者的要求，或可能以 pkiuser 權限執行任意程式碼。(CVE-2013-1886)

在 TPS 子系統中發現一個跨網站指令碼瑕疵。攻擊者可利用此瑕疵，對使用憑證系統 Web 介面的受害者執行跨網站指令碼 (XSS) 攻擊。
(CVE-2013-1885)

建議 Red Hat Certificate System 的所有使用者升級至此更新版套件，其可更正這些問題。安裝此更新之後，所有 Red Hat Certificate System 子系統都必須重新啟動 ('/etc/init.d /[instance-name] restart')，更新才能生效。

Bugzilla 錯誤 #923039 - (CVE-2013-1885) 憑證系統：pki-tps XSS 瑕疵，Bugzilla 錯誤 #924870 - (CVE-2013-1886) 憑證系統：
pki-tps 格式字串插入

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

更新后的 pki-tps 程序包修复了两个安全问题，现在可用于 Red Hat Certificate System 8.1。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Certificate System (RHCS) 是企业级软件系统，旨在管理企业级公钥基础架构 (PKI) 部署。标记处理系统 (TPS) 为充当注册颁发机构 (RA) 的 PKI 子系统，用于认证和处理来自企业安全客户端的注册请求、PIN 重置请求和格式化请求。

在 TPS 子系统中发现一个格式字符串缺陷。经过认证的 Certificate System 用户可利用此缺陷来导致 Apache HTTP Server 子进程崩溃，从而可能中断对其他用户的请求的处理，或者可能以 pkiuser 权限执行任意代码。(CVE-2013-1886)

在 TPS 子系统中发现一个跨站脚本缺陷。攻击者可利用此缺陷，使用 Certificate System 的 Web 接口对受害者执行跨站脚本 (XSS) 攻击。
(CVE-2013-1885)

建议所有 Red Hat Certificate System 用户升级到此更新后的程序包，其中修正了这些问题。安装此更新之后，必须重新启动所有 Red Hat Certificate System 子系统（“/etc/init.d /[instance-name] restart”）才能使更新生效。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
78958	RHEL 5 : pki-tps (RHSA-2013:0856)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	high
67358	Fedora 17 : pki-tps-9.0.11-1.fc17 (2013-9258)	Nessus	Fedora Local Security Checks	2013/7/12	2021/1/11	high
67358	Fedora 17：pki-tps-9.0.11-1.fc17 (2013-9258)	Nessus	Fedora Local Security Checks	2013/7/12	2021/1/11	high
78958	RHEL 5：pki-tps（RHSA-2013：0856）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	high
67358	Fedora 17：pki-tps-9.0.11-1.fc17（2013-9258）	Nessus	Fedora Local Security Checks	2013/7/12	2021/1/11	high
78958	RHEL 5：pki-tps (RHSA-2013:0856)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	high
67358	Fedora 17 : pki-tps-9.0.11-1.fc17 (2013-9258)	Nessus	Fedora Local Security Checks	2013/7/12	2021/1/11	high
78958	RHEL 5：pki-tps (RHSA-2013:0856)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	high

検出

プラグインの検索

high

high

high

high

high

high

high

high