The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:1367 advisory.

    Red Hat CloudForms Management Engine delivers the insight, control, and automation needed to address the     challenges of managing virtual environments. CloudForms Management Engine is built on Ruby on Rails, a     model-view-controller (MVC) framework for web application development. Action Pack implements the     controller and the view components.

    Security Fix(es):

    * CloudForms includes a default SSL/TLS certificate for the web server. This certificate is replaced at     install time, however if an attacker were able to man-in-the-middle an administrator while installing the     new certificate the attacker could get a copy of the private key uploaded allowing for future attacks.
    (CVE-2016-4457)

    * It was found that CloudForms does not verify that the server hostname matches the domain name in the     certificate when using a custom CA and communicating with Red Hat Virtualization (RHEV) and OpenShift.
    This would allow an attacker to spoof RHEV or OpenShift systems and potentially harvest sensitive     information from CloudForms. (CVE-2017-2639)

    The CVE-2016-4457 issue was discovered by Simon Lukasik (Red Hat).

    Additional Changes:

    This update also fixes several bugs and adds various enhancements. Documentation for these changes is     available from the Technical Notes document linked to in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2017:1367 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat CloudForms Management Engine は、仮想環境の管理の課題に対処する上で必要なインサイト、制御、自動化を提供します。CloudForms Management Engineは、Webアプリケーション開発用のmodel-view-controller（MVC）フレームワークであるRuby on Rails上にビルドされています。Action Packは、コントローラーとビューのコンポーネントを実装します。

    セキュリティ修正プログラム:

    * CloudForms には、ウェブサーバー用の既定の SSL/TLS 証明書が含まれています。この証明書はインストール時に置き換えられますが、新しい証明書のインストール中に攻撃者が管理者を中間者にすることができた場合、攻撃者はアップロードされた秘密鍵のコピーを入手し、その後攻撃を引き起こす可能性があります。
    (CVE-2016-4457)

    *カスタム CA を使用し、Red Hat Virtualization (RHEV) および OpenShift と通信するとき、CloudForms はサーバーのホスト名が証明書のドメイン名と一致するかどうかを検証しないことがわかりました。
    これにより、攻撃者が RHEV または OpenShift システムを偽装し、CloudForms から機密情報を収集する可能性があります。(CVE-2017-2639)

    この CVE-2016-4457 の問題は、Simon Lukasik 氏 (Red Hat) により発見されました。

    追加の変更:

    この更新プログラムでは複数のバグが修正され、さまざまな拡張機能が追加されます。これらの変更に関するドキュメントは、「参照」セクションにリンクされているテクニカルノートのドキュメントから参照できます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 7 主機已安裝受到多個弱點影響的套件，如 RHSA-2017:1367 公告中所提及。

    Red Hat CloudForms Management Engine 提供因應管理虛擬環境挑戰所需的深入見解、控制機制及自動化服務。CloudForms Management Engine 建置在 Ruby on Rails 上，後者是一個適用於 Web 應用程式開發的模型檢視控制器 (MVC) 架構。Action Pack 可實作控制器和檢視元件。

    安全性修正：

    * CloudForms 包含 Web 伺服器的預設 SSL/TLS 憑證。此憑證會在安裝時取代，不過，如果攻擊者能夠在安裝新憑證時對系統管理員進行攔截式攻擊，則攻擊者可取得上傳的私密金鑰複本，以便日後發動攻擊。
    (CVE-2016-4457)

    * 據發現，使用自訂 CA 並與 Red Hat Virtualization (RHEV) 和 OpenShift 通訊時，CloudForms 不會驗證伺服器主機名稱是否與憑證中的網域名稱相符。
    攻擊者可藉此偽造 RHEV 或 OpenShift 系統，並可能從 CloudForms 擷取敏感資訊。(CVE-2017-2639)

    CVE-2016-4457 問題是由 Simon Lukasik (Red Hat) 發現。

    其他變更：

    此更新亦可修復數個錯誤，並新增數個增強功能。這些變更的說明文件可從〈參照〉一節中的「技術提示」文件連結中取得。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2017:1367 公告中提及的多个漏洞影响。

    Red Hat CloudForms Management Engine 提供可解决管理虚拟环境难题所需的见解、控件和自动化。CloudForms Management Engine 基于 Ruby on Rails 构建，后者是适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架。Action Pack 实施控制器和视图组件。

    安全修复：

    * CloudForms 包含适用于 Web 服务器的默认 SSL/TLS 证书。此证书会在安装时替换，但如果攻击者能够在安装新证书时对管理员发起中间人攻击，则可能获得已上传的私钥的副本，以用于日后攻击。
    (CVE-2016-4457)

    * 已发现当使用自定义 CA 并与 Red Hat Virtualization (RHEV) 和 OpenShift 通信时，CloudForms 不会验证服务器主机名是否与证书中的域名匹配。
    这将允许攻击者欺骗 RHEV 或 OpenShift 系统，并且可能从 CloudForms 收集敏感信息。(CVE-2017-2639)

    CVE-2016-4457 问题由 Simon Lukasik (Red Hat) 发现。

    其他变更：

    此更新还修复了多个缺陷并添加了多项增强功能。“参考”部分链接的技术札记文档中提供这些更改的文档。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
233295	RHEL 7 : CFME 5.8.0 (RHSA-2017:1367)	Nessus	Red Hat Local Security Checks	2025/3/24	2025/3/24	high
233295	RHEL 7 : CFME 5.8.0 (RHSA-2017:1367)	Nessus	Red Hat Local Security Checks	2025/3/24	2025/3/24	high
233295	RHEL 7：CFME 5.8.0 (RHSA-2017:1367)	Nessus	Red Hat Local Security Checks	2025/3/24	2025/3/24	high
233295	RHEL 7：CFME 5.8.0 (RHSA-2017:1367)	Nessus	Red Hat Local Security Checks	2025/3/24	2025/3/24	high

検出

プラグインの検索

high

high

high

high