An update for org.ovirt.engine-root is now available for RHEV Engine version 4.0.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

The Red Hat Virtualization Manager is a centralized management platform that allows system administrators to view and manage virtual machines. The Manager provides a comprehensive range of features including search capabilities, resource management, live migrations, and virtual infrastructure provisioning.

The Manager is a JBoss Application Server application that provides several interfaces through which the virtual environment can be accessed and interacted with, including an Administration Portal, a User Portal, and a Representational State Transfer (REST) Application Programming Interface (API).

Security Fix(es) :

* It was found that the ovirt-engine-provisiondb utility did not correctly sanitize the authentication details used with the '--provision*db' options from the output before storing them in log files. This could allow an attacker with read access to these log files to obtain sensitive information such as passwords.
(CVE-2016-5432)

This issue was discovered by Yedidyah Bar David (Red Hat).

Bug Fix(es) :

* Previously, when checking permissions for a CPU profile, group permissions were not considered. Users that were part of a group could not assign a CPU profile and so could not start a virtual machine.
This was fixed by using PermissionDao and correct SQL functions when checking permissions, so group permissions are now considered.
(BZ#1371888)

* Setting only one of the thresholds for power saving/evenly distributed memory based balancing (high or low) can lead to unexpected results. For example, when in power saving load balancing the threshold for memory over utilized hosts was set with a value, and the threshold for memory under utilized hosts was undefined thus getting a default value of 0. All hosts were considered as under utilized hosts and were chosen as sources for migration, but no host was chosen as a destination for migration.

This has now been changed so that when the threshold for memory under utilized host is undefined, it gets a default value of Long.MAX. Now, when the threshold for memory over utilized hosts is set with a value, and the threshold for memory under utilized host is undefined, only over utilized hosts will be selected as sources for migration, and destination hosts will be hosts that are not over utilized.
(BZ#1354281)

* This update ensures that Quality of Service (QoS) Storage values that are sent to the VDSM service, are used by the VDSM and Memory Overcommit Manager (MoM). The result is that QoS is live-applied on virtual machines, and all MoM-related virtual machine changes are only applied when the memory ballooning device is enabled on the virtual machine. (BZ#1328731)

Enhancement(s) :

* Previously, it was possible to install incorrect versions of virtio drivers, especially when running an older Windows operating system.
This sometimes caused the guest to terminate unexpectedly with a stop error, also known as the 'Blue Screen of Death', if the particular driver and Windows versions were incompatible. This update adds target OS version information to driver files, which enables Windows to automatically select the best driver when pointed to the root of the virtio-win CD image. Installing an incompatible driver version manually is also no longer possible, as Windows now presents the user with an error message if installation is attempted. (BZ#1328181)

* With this release, Red Hat Virtualization now supports CephFS as a POSIX storage domain. (BZ#1095615)

org.ovirt.engine-rootの更新プログラムが、RHEV Engineバージョン4.0で利用可能になりました。Red Hat製品セキュリティは、この更新プログラムがセキュリティに及ぼす影響の重要度を中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Enterprise Virtualization Managerは、システム管理者が仮想マシンの閲覧および管理を行える集中管理プラットフォームです。このマネージャーは、検索機能、リソース管理、ライブ移行、仮想インフラストラクチャプロビジョニングを含む包括的な機能を提供します。このマネージャーはJBoss Application Serverアプリケーションであり、管理ポータル、ユーザーポータル、およびRepresentational State Transfer（REST）アプリケーションプログラミングインターフェイス（API）を含む、仮想環境へのアクセスおよび相互作用が可能な複数のインターフェイスを提供します。セキュリティ修正プログラム：* ovirt-engine-provisiondbユーティリティが、ログファイルに保存する前に、「--provision * db」オプションで使用される認証詳細を出力から正しくサニタイズしないことがわかりました。このため、これらのログファイルにアクセスできる攻撃者がパスワードなどの秘密情報を取得する可能性があります。（CVE-2016-5432）この問題はYedidyah Bar David氏（Red Hat）によって発見されました。バグ修正：*以前は、CPUプロファイルのアクセス権をチェックするとき、グループのアクセス権が考慮されていませんでした。グループに属していたユーザーはCPUプロファイルを割り当てることができなかったため、仮想マシンを起動できませんでした。これは、アクセス許可をチェックするときに、PermissionDaoと正しいSQL関数を使用することで修正され、グループアクセス許可が考慮されるようになりました。（BZ＃1371888）*「省電力」と「メモリの均等分散」に基づく負荷分散（高または低）の2つのしきい値のうち1つのみ設定した場合、予期しない結果が生じる可能性があります。たとえば、省電力ロードバランシングでは、使用率が高いホストのメモリのしきい値に値を設定し、使用率が低いホストのメモリのしきい値を定義しないと、デフォルト値が0になります。すべてのホストが使用率の低いホストと見なされ、移行元として選択されましたが、移行先として選択されたホストはありませんでした。これは現在、使用率が低いホストのメモリのしきい値が未定義のときにLong.MAXのデフォルト値を取得するように変更されました。これで、使用率が高いホストのメモリのしきい値に値が設定され、使用率が低いホストのメモリのしきい値が定義されていない場合は、使用率が高いホストのみが移行元として選択されます。また、移行先ホストは使用率が低いホストとなります。（BZ＃1354281）*この更新プログラムにより、VDSMサービスに送信されるQuality of Service（QoS）ストレージの値がVDSMおよびMemory Overcommit Manager（MoM）によって使用されるようになりました。その結果、QoSは仮想マシンにライブで適用され、MoM関連の仮想マシンの変更はすべて、仮想マシンでメモリバルーニングデバイスが有効になっている場合にのみ適用されます。（BZ＃1328731）機能強化：*以前は、特に古いWindowsオペレーティングシステムを実行しているときに、不適切なバージョンのvirtioドライバーをインストールすることが可能でした。特定のドライバーとWindowsのバージョンに互換性がない場合、これが原因でゲストが突然「ブルースクリーン（Blue Screen of Death）」とも呼ばれる停止エラーで突然終了することがありました。この更新プログラムでは、対象のOSのバージョン情報がドライバーファイルに追加されているため、virtio-win CDイメージのルートを指定すると、Windowsは自動的に最適なドライバーを選択できます。インストールを試みるとWindowsがエラーメッセージを表示するため、互換性のないバージョンのドライバーを手動でインストールすることもできなくなりました。（BZ＃1328181）*このリリースでは、Red Hat VirtualizationはCephFSをPOSIXストレージドメインとしてサポートするようになりました。（BZ#1095615）

適用於 RHEV Engine 4.0 版的 org.ovirt.engine-root 更新現已發佈。

Red Hat 產品安全性團隊已將此更新評等為具有「中等」安全性影響。您可從〈參照〉一節的 CVE 連結中查看每個弱點之常見弱點評分系統 (CVSS) 基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Virtualization Manager 是一種集中式管理平台，可讓系統管理員檢視和管理虛擬機器。Manager 提供完整的功能，包括：搜尋功能、資源管理、即時移轉，以及虛擬基礎結構佈建等等。

這個 Manager 是一種 JBoss Application Server 應用程式，提供多種介面，可讓使用者透過這些介面存取虛擬環境並與之互動，包括：管理入口網站、使用者入口網站，以及具象狀態傳輸 (REST) 應用程式開發介面 (API)。

安全性修正：

* 據發現，ovirt-engine-provisiondb 公用程式無法在將用於「--provision*db」選項的驗證詳細資料儲存到記錄檔前正確清理這些資料。這會讓具有讀取權限的攻擊者得以存取這些記錄檔，取得像是密碼之類的敏感資訊。
(CVE-2016-5432)

此問題是由 Yedidyah Bar David (Red Hat) 所發現的。

錯誤修正：

* 之前在檢查 CPU 設定檔的權限時，不會考慮到群組權限。屬於群組成員的使用者無法指定 CPU 設定檔，因此也無法啟動虛擬機器。
這個問題已透過檢查權限時使用 PermissionDao 和正確的 SQL 功能解決，因此現在會將群組權限考慮在內。
(BZ#1371888)

* 設定節能/平均分散式記憶體型平衡 (高或低) 的其中一個臨界值時，會導致非預期結果。例如在節能負載平衡中，有針對超額使用記憶體的主機設定一個臨界值，對於記憶體使用率低的主機則沒有定義臨界值，因此預設值為 0。所有主機皆被視為記憶體使用率低的主機並選為移轉來源，但卻沒有主機被選為移轉目的地。

這個問題現已修正，所以即使記憶體低使用率的主機沒有定義臨界值，預設值會設為 Long.MAX。現在當超額使用記憶體的主機有設定臨界值，而記憶體使用率低的主機未定義臨界值時，只會選定超額使用記憶體的主機作為移轉來源，並以記憶體使用率低的主機作為目的地主機。
(BZ#1354281)

* 此更新確保 VDSM 和 Memory Overcommit Manager (MoM) 一定會使用傳送給 VDSM 服務的服務品質 (QoS) 儲存值。如此一來，QoS 可即時套用在虛擬機器上，所有 MoM 相關的虛擬機器變更唯有在記憶體佔用裝置在虛擬機器上啟用時才會套用。(BZ#1328731)

增強功能：

我們之前有可能會安裝到錯誤的 virtio 驅動程式版本，特別是執行較舊的 Windows 作業系統時更容易發生這個問題。
這時如果特定驅動程式版本與 Windows 版本不相容，有時會造成客體意外終止並出現停止錯誤，也就是出現所謂的「藍白當機畫面」。此更新在驅動程式檔案中加入目標 OS 的版本資訊，讓 Windows 在指向 virtio-win CD 影像的根目錄時，可自動選擇最佳驅動程式。現在已不可能再發生手動安裝不相容驅動程式版本的情況，因為如果嘗試安裝錯誤版本，Windows 會顯示錯誤訊息提醒使用者。(BZ#1328181)

* 發行此版本後，Red Hat Virtualization 現可支援使用 CephFS 作為 POSIX 儲存網域。(BZ#1095615)

The remote Redhat Enterprise Linux 7 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - ovirt-engine: webadmin log out must logout all sessions (CVE-2016-6338)

  - ovirt-engine: API exposes power management credentials to administrators (CVE-2018-1074)

  - Cross-site scripting (XSS) vulnerability in ovirt-engine allows remote attackers to inject arbitrary web     script or HTML. (CVE-2016-3113)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

org.ovirt.engine-root 的更新现在可用于 RHEV Engine 版本 4.0。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Virtualization Manager 是允许系统管理员查看和管理虚拟机的集中式管理平台。Manager 可提供全面的功能，包括搜索功能、资源管理、实时迁移和虚拟基础架构设置。Manager 是 JBoss Application Server 应用程序，该应用程序提供了多个界面，可通过这些界面访问虚拟环境并与之交互，其中包括管理门户、用户门户以及表述性状态转移 (REST) 应用程序编程接口 (API)。安全修复：* 据发现，ovirt-engine-provisiondb 实用工具无法在将用于 '--provision*db' 选项的验证详情保存到日志文件前，从输出中正确清理这些资料。这会让具有读取权限的攻击者访问这些日志文件，以获取诸如密码等敏感信息。(CVE-2016-5432) 此问题的发现者为 Yedidyah Bar David (Red Hat)。缺陷修复：* 之前，检查 CPU 配置文件的权限时，并未考虑到群组权限。属于群组成员的用户无法指定 CPU 配置文件，因此也无法启动虚拟机。这个问题已通过检查权限时使用 PermissionDao 和正确的 SQL 功能解决，因此也会将群组权限考虑在内。(BZ#1371888) * 仅设置节能/平均分布式内存型平衡（高或低）的其中一个阈值时，会导致非预期结果。例如，在节能负载中，针对平衡过度利用内存的主机设定一个阈值，而低利用率内存的主机则没有定义阈值，因此默认值为 0。所有主机均被视为内存低使用率的主机并选为迁移来源，但却没有主机被选为迁移目的地。此问题现已修复，当内存低使用率的主机未定义阈值时，默认值会设为 Long.MAX。现在，当内存过度利用的主机设置阈值时，而内存低使用率的主机未定义阈值时，只会选择内存过度利用的主机作为迁移来源，并以内存低使用率的主机作为目的地主机。(BZ#1354281) * 此更新确保 VDSM 和 Memory Overcommit Manager (MoM) 会使用发送给 VDSM 服务的服务质量 (QoS) 储存值。因此，QoS 可即时应用在虚拟机上，所有 MoM 相关的虚拟机变更只有在内存扩展设备在虚拟机上启用时才会应用。(BZ#1328731) 增强功能：* 之前，我们可能会安装错误的 virtio 驱动版本，特别是执行较旧的 Windows 操作系统时。这时如果特定驱动版本与 Windows 版本不兼容，有时会造成客户机意外终止并出现停止错误，即出现所谓的“蓝屏死机”。此更新在驱动文件中加入目标 OS 的版本信息，使 Windows 在指向 virtio-win CD 图像的根时，可自动选择最佳驱动。现在已不可能再发生手动安装不兼容驱动版本的情况，因为如果尝试安装错误版本，Windows 会显示错误消息提醒用户。(BZ#1328181) * 发行此版本后，Red Hat Virtualization 现在可以支持使用 CephFS 作为 POSIX 存储域。(BZ#1095615)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
93805	RHEL 7 : org.ovirt.engine-root (RHSA-2016:1967)	Nessus	Red Hat Local Security Checks	2016/9/30	2019/10/24	low
93805	RHEL 7：org.ovirt.engine-root（RHSA-2016:1967）	Nessus	Red Hat Local Security Checks	2016/9/30	2019/10/24	low
93805	RHEL 7：org.ovirt.engine-root (RHSA-2016: 1967)	Nessus	Red Hat Local Security Checks	2016/9/30	2019/10/24	low
199092	RHEL 7 : ovirt-engine (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	high
93805	RHEL 7 : org.ovirt.engine-root (RHSA-2016:1967)	Nessus	Red Hat Local Security Checks	2016/9/30	2019/10/24	low

検出

プラグインの検索

low

low

low

high

low