いくつかのセキュリティの問題といくつかのバグを修正し、拡張機能を導入したRed Hat OpenShift Enterpriseリリース2.2.9が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。このリリースでは、次のセキュリティ問題に対処します：ActiveMQは、オブジェクトを逆シリアル化するときにユーザー指定のデータを安全に処理しないことがわかりました。リモートの攻撃者がこの欠陥を悪用し、ActiveMQアプリケーションの権限で任意のコードを実行する可能性があります。（CVE-2015-5254）Jenkins Continuous Integration Serverの更新では、XSS、CSRF、情報漏えい、コードの実行を含む多数のセキュリティ問題に対応しています。（CVE-2015-5317、CVE-2015-5318、CVE-2015-5319、CVE-2015-5320、CVE-2015-5321、CVE-2015-5322、CVE-2015-5323、CVE-2015-5324、CVE -2015-5325、CVE-2015-5326、CVE-2015-7537、CVE-2015-7538、CVE-2015-7539、CVE-2015-8103）スペースの関係上、これらのバグ修正がすべてこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、『OpenShift Enterpriseテクニカルノート』を参照してください。これは、リリース2.2.9で間もなく更新されます：https://access.redhat.com/documentation/en-US/OpenShift_Enterprise/2/html-single/Technical_Notes/index.html：OpenShift Enterprise 2のすべてのユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。

リモート Web サーバーは、1.638 または 1.625.2 以前のバージョンの Jenkins または Jenkins Enterprise をホストしています。そのため、認証されていない Java オブジェクトの逆シリアル化を可能にする Apache Commons Collections（ACC）ライブラリの欠陥の影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、ターゲットホスト上で任意のコードを実行する恐れがあります。

パッケージが更新され、いくつかのセキュリティの問題とバグを修正し、拡張機能を導入するRed Hat OpenShift Enterprise release 3.1.1が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。このリリースでは、次のセキュリティの問題に対応しています：Kubernetesに認証上の欠陥が見つかりました：APIサーバーが特定のリクエストを処理する際にユーザーの権限を正しくチェックしていませんでした。認証されたリモートの攻撃者がこの欠陥を悪用し、RAMやディスク容量などのリソースへの追加のアクセス権を取得する可能性があります。（CVE-2016-1905）Kubernetesに認証上の欠陥が見つかりました：APIサーバーが特定のビルド構成方法を処理する際にユーザーの権限を正しくチェックしていませんでした。リモートの攻撃者が、ポリシーに違反する手法でビルド構成を作成する可能性があります。攻撃者は自分でビルドを起動できませんが（ポリシーに違反すると起動に失敗します）、ビルド構成ファイルが後で他の権限で実行できるサービス（自動トリガーなど）によって起動されると、ユーザーの権限をバイパスして攻撃者の昇格が可能になる可能性があります。（CVE-2016-1906）Jenkins Continuous Integration Serverの更新では、XSS、CSRF、情報漏えい、コードの実行を含む多数のセキュリティ問題に対応しています。（CVE-2013-2186、CVE-2014-1869、CVE-2014-3661、CVE-2014-3662、CVE-2014-3663、CVE-2014-3664、CVE-2014-3666、CVE-2014-3667、CVE-2014-3680、CVE-2014-3681、CVE-2015-1806、CVE-2015-1807、CVE-2015-1808、CVE-2015-1810、CVE-2015-1812、CVE-2015-1813、CVE-2015-1814、CVE-2015-5317、CVE-2015-5318、CVE-2015-5319、CVE-2015-5320、CVE-2015-5321、CVE-2015-5322、CVE-2015-5323、CVE-2015-5324、CVE-2015-5325、CVE-2015-5326、CVE-2015-7537、CVE-2015-7538、CVE-2015-7539、CVE-2015-8103）スペースの関係上、すべてのバグ修正と拡張がこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、『OpenShift Enterprise 3.1リリースノート』を参照してください。これは、リリース3.1.1で間もなく更新されます：https://docs.openshift.com/enterprise/3.1/release_notes/ ose_3_1_release_notes.html：OpenShift Enterprise 3のすべてのユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119368	RHEL 6：Red Hat OpenShift Enterprise 2.2.9（RHSA-2016:0489）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/4	critical
86898	Jenkins < 1.638/1.625.2 Java オブジェクト逆シリアル化 RCE	Nessus	General	2015/11/17	2025/5/14	high
119442	RHEL 7：openshift（RHSA-2016:0070）	Nessus	Red Hat Local Security Checks	2018/12/6	2023/5/14	critical

検出

プラグインの検索

critical

high

critical