リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:1796 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat が提供する OpenShift Enterprise は、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム (PaaS) ソリューションです。

    OpenShift Enterprise 2.2では、異なる機器で実行中のサービスへのアクセスが適切に制限されていないことが報告されています。これにより、攻撃者が他のユーザーの機器で実行中の保護されていないネットワークリソースにアクセスする可能性があります。
    OpenShift Enterprise 2.2 では、ファイヤーウォールルールと SELinux ポリシーを作成して、機器で実行中のサービスを独自の内部機器IPに封じ込める oo-gear-firewall コマンドが導入されました。このコマンドは、このセキュリティ問題を回避するため、OpenShift Enterprise 2.2の新規インストール時にデフォルトで呼び出されます。管理者は、2.2 にアップグレードした後に、既存のデプロイメントのノードホストで以下を実行し、このセキュリティ問題に対処する必要があります。

    # oo-gear-firewall -i enable -s enable

    詳細については、oo-gear-firewall コマンドの man ページを参照してください。
    (CVE-2014-3674)

    OpenShift Enterpriseは機器内の/proc/net/tcpファイルへのアクセスを制限していないため、ローカルユーザーがすべての待機中の接続と接続済みのソケットを表示できることが報告されています。これにより、使用中のリモートシステムのIPやポート番号が漏えいし、さらなる標的型攻撃に悪用される可能性があります。ローカルリスナーに対しては、OSEではデフォルトで接続を機器内に制限するため、ローカルポートとIPを知っていても攻撃者は接続することができません。このバグ修正により、ノードホストの SELinux ポリシーが更新され、ローカルユーザーはこの機器情報にアクセスできなくなりました。(CVE-2014-3602)

    OpenShift Enterprise 2.2リリースノートには、このリリースの新機能や重要な技術的変更、および初期インストールに関する注意事項が記載されています。OpenShift Enterprise の詳細については、次のサイトで入手可能なドキュメントを参照してください:

    https://access.redhat.com/site/documentation/en-US/OpenShift_Enterprise/2/

    すべての OpenShift Enterprise ユーザーは、リリース 2.2 にアップグレードすることが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

2つのセキュリティの問題といくつかのバグを修正し、1つの拡張機能を追加したRed Hat OpenShift Enterpriseリリース2.1.9が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。OpenShift Enterprise 2.1では、異なる機器で実行中のサービスへのアクセスが適切に制限されていないことがわかりました。これにより、攻撃者が他のユーザーの機器で実行中の保護されていないネットワークリソースにアクセスする可能性があります。前回の更新では、ファイアウォールルールとSELinuxポリシーを作成して機器で実行中のサービスを独自の内部機器IPに含める、oo-gear-firewallコマンドがOpenShift Enterprise 2.2に導入されました。このコマンドは、このセキュリティ問題を回避するため、OpenShift Enterprise 2.2の新規インストール時にデフォルトで呼び出されます。今回の更新では、このコマンドがOpenShift Enterprise 2.1にバックポートされています。このセキュリティ問題に対処するため、管理者はこの更新を適用した後、既存のOpenShift Enterprise 2.1展開のノードホストで次のコマンドを実行する必要があります：# oo-gear-firewall -i enable -s enable：詳細については、oo-gear-firewallコマンドのmanページを参照してください。（CVE-2014-3674）OpenShift Enterpriseでは機器内の/proc/net/tcpファイルへのアクセスを制限していないため、ローカルユーザーがすべての待機中の接続と接続済みのソケットを表示できることがわかりました。これにより、使用中のリモートシステムのIPやポート番号が漏えいする可能性があり、さらなる標的型攻撃に悪用される場合があります。ローカルリスナーに対しては、OpenShift Enterpriseではデフォルトで接続を機器内に制限するため、ローカルポートとIPを知っていても攻撃者は接続することができません。ノードホストのSELinuxポリシーが更新され、ローカルユーザーはこの機器情報にアクセスできなくなりました。このアクセスが終了したことにより、以前はこれに依存していたJBossベースのカートリッジを標準の手順に従ってアップグレードする必要があります。これは互換性のあるカートリッジのアップグレードであるため、再起動は必要ありません。（CVE-2014-3602）スペースの関係上、すべてのバグ修正と拡張がこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、「参照」セクションにリンクされている『OpenShift Enterpriseテクニカルノート』を参照してください。これは、リリース2.1.9で間もなく更新されます。すべてのOpenShift Enterpriseユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。

リモートのRed Hat Enterprise Linux CoreOS 2ホストには、 RHSA-2014:1906 アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenShift:/proc/net/tcp 情報開示(CVE-2014-3602)

  - エンタープライズ:ギアがネットワークトラフィックを適切に分離できない(CVE-2014-3674)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRed Hat Enterprise Linux CoreOS 2ホストには、 RHSA-2014:1796 アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenShift:/proc/net/tcp 情報開示(CVE-2014-3602)

  - エンタープライズ:ギアがネットワークトラフィックを適切に分離できない(CVE-2014-3674)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119441	RHEL 6 : Red Hat OpenShift Enterprise 2.2 リリースアドバイザリ (重要度中) (RHSA-2014:1796)	Nessus	Red Hat Local Security Checks	2018/12/6	2025/3/24	high
119357	RHEL 6：Red Hat OpenShift Enterprise 2.1.9（RHSA-2014:1906）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/7/17	high
311979	RHCOS 2 : Red Hat OpenShift Enterprise 2.1.9 (RHSA-2014:1906)	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/4	high
312016	RHCOS 2 : Red Hat OpenShift Enterprise 2.2 リリースアドバイザリー(中程度)(RHSA-2014:1796)	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/4	high

検出

プラグインの検索

high

high

high

high