An update is now available for Red Hat OpenShift Container Platform 3.4, Red Hat OpenShift Container Platform 3.5, and Red Hat OpenShift Container Platform 3.6.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

OpenShift Enterprise by Red Hat is the company's cloud computing Platform-as-a-Service (PaaS) solution designed for on-premise or private cloud deployments.

This advisory contains the RPM packages for this release. An advisory for the container images for this release is available at:
https://access.redhat.com/ errata/RHBA-2017:3390.

Space precludes documenting all of the bug fixes and enhancements in this advisory. See the following Release Notes documentation, which will be updated shortly for this release, for details about these changes :

https://docs.openshift.com/container-platform/3.6/release_notes/ ocp_3_6_release_notes.html

https://docs.openshift.com/container-platform/3.5/release_notes/ ocp_3_5_release_notes.html

https://docs.openshift.com/container-platform/3.4/release_notes/ ocp_3_4_release_notes.html

All OpenShift Container Platform 3 users are advised to upgrade to these updated packages and images.

Security Fix(es) :

* An attacker with knowledge of the given name used to authenticate and access Elasticsearch can later access it without the token, bypassing authentication. This attack also requires that the Elasticsearch be configured with an external route, and the data accessed is limited to the indices. (CVE-2017-12195)

This issue was discovered by Rich Megginson (Red Hat).

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2017:3188 advisory.

    Red Hat OpenShift Container Platform is the company's cloud computing Platform-as-a-Service (PaaS)     solution designed for on-premise or private cloud deployments.

    The OpenShift Container Platform 3.7 Release Notes, link located within the reference section, provides     information about new features, bug fixes, and known issues.

    This advisory contains the RPM packages for this release. An advisory for the container images for this     release is available at: https://access.redhat.com/errata/RHEA-2017:3187.

    Security Fix(es):

    * An attacker with knowledge of the given name used to authenticate and access Elasticsearch can later     access it without the token, bypassing authentication. This attack also requires that the Elasticsearch be     configured with an external route, and the data accessed is limited to the indices. (CVE-2017-12195)

    Red Hat would like to thank Rich Megginson for reporting this issue.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Red Hat OpenShift Container Platform 3.7の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。「参照」セクション内にリンクのあるOpenShift Container Platform 3.7リリースノートには、新機能、バグ修正、既知の問題に関する情報が記載されています。このアドバイザリには、このリリースのRPMパッケージが含まれています。このリリースのコンテナイメージに関するアドバイザリは次から入手できます：https://access.redhat.com/ errata/RHEA-2017:3187 セキュリティ修正プログラム：* Elasticsearchの認証とアクセスに使用された特定の名前を知っている攻撃者が、認証をバイパスしてトークンなしで後でアクセスする可能性があります。この攻撃では、Elasticsearchが外部ルートで構成されている必要があり、アクセスできるデータはインデックスに限られています。（CVE-2017-12195）Red Hatは、この問題を報告してくれたRich Megginson氏に感謝の意を表します。

Red Hat OpenShift Container Platform 3.4、Red Hat OpenShift Container Platform 3.5、Red Hat OpenShift Container Platform 3.6の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hatが提供するOpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。このアドバイザリには、このリリースのRPMパッケージが含まれています。このリリースのコンテナイメージに関するアドバイザリは次から入手できます：https://access.redhat.com/ errata/RHBA-2017:3390 スペースの関係上、すべてのバグ修正と拡張がこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、次のリリースノートのドキュメントを参照してください。これは、このリリースで間もなく更新されます：https://docs.openshift.com/container-platform/3.6/release_notes/ ocp_3_6_release_notes.html https://docs.openshift.com/container-platform/3.5/release_notes/ ocp_3_5_release_notes.html https://docs.openshift.com/container-platform/3.4/release_notes/ ocp_3_4_release_notes.html：OpenShift Container Platform 3のすべてのユーザーは、これらの更新済みパッケージとイメージにアップグレードすることが推奨されます。セキュリティ修正プログラム：* Elasticsearchの認証とアクセスに使用された特定の名前を知っている攻撃者が、認証をバイパスしてトークンなしで後でアクセスする可能性があります。この攻撃では、Elasticsearchが外部ルートで構成されている必要があり、アクセスできるデータはインデックスに限られています。（CVE-2017-12195）この問題は、Rich Megginson氏（Red Hat）により発見されました。

有个更新现可用于 Red Hat OpenShift Container Platform 3.7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift Container Platform 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。链接到“参考”部分的 OpenShift Container Platform 3.7 版本说明可提供新功能、缺陷修复以及已知问题的相关信息。此公告含有该版本的 RPM 程序包。此版本之容器图像的公告可访问以下网址查看：https://access.redhat.com/ errata/RHEA-2017:3187。安全修复：* 知道验证和访问 Elasticsearch 所使用之特定名称的攻击者，之后无需令牌即可访问 Elasticsearch，进而绕过验证。此攻击也需要使用外部路由配置 Elasticsearch，且访问的数据仅限于索引。(CVE-2017-12195) Red Hat 在此感谢 Rich Megginson 报告此问题。

現已提供適用於 Red Hat OpenShift Container Platform 3.4、Red Hat OpenShift Container Platform 3.5 和 Red Hat OpenShift Container Platform 3.6 的更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat 的 OpenShift Enterprise 是該公司的雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。此公告含有該版本的 RPM 套件。此版本之容器影像的公告可在以下網址取得：https://access.redhat.com/ errata/RHBA-2017:3390。因空間所限，無法在此公告中記錄所有錯誤修正與增強功能。如需有關這些變更的詳細資訊，請參閱下列版本資訊文件，此版本不久將更新該文件：https://docs.openshift.com/container-platform/3.6/release_notes/ ocp_3_6_release_notes.html https://docs.openshift.com/container-platform/3.5/release_notes/ ocp_3_5_release_notes.html https://docs.openshift.com/container-platform/3.4/release_notes/ ocp_3_4_release_notes.html 建議所有 OpenShift Container Platform 3 使用者皆升級至這些更新版套件和影像。安全性修正：* 知道驗證和存取 Elasticsearch 所使用之給定名稱的攻擊者之後不需要權杖即可存取 Elasticsearch，進而繞過驗證。此攻擊也需要使用外部路由設定 Elasticsearch，且存取的資料限於索引。(CVE-2017-12195) 此問題是由 Rich Megginson (Red Hat) 所發現的。

現已提供適用於 Red Hat OpenShift Container Platform 3.7 的更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat OpenShift Container Platform 是該公司的雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。〈參照〉一節連結的 OpenShift Container Platform 3.7 版本資訊可提供新功能、錯誤修正以及已知問題的相關資訊。此公告含有該版本的 RPM 套件。此版本之容器影像的公告可在以下網址取得：https://access.redhat.com/ errata/RHEA-2017:3187。安全性修正：* 知道驗證和存取 Elasticsearch 所使用之給定名稱的攻擊者之後不需要權杖即可存取 Elasticsearch，進而繞過驗證。此攻擊也需要使用外部路由設定 Elasticsearch，且存取的資料限於索引。(CVE-2017-12195) Red Hat 要感謝 Rich Megginson 報告此問題。

现已提供 Red Hat OpenShift Container Platform 3.4、Red Hat OpenShift Container Platform 3.5 和 Red Hat OpenShift Container Platform 3.6 的更新。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat 的 OpenShift Enterprise 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。此公告含有该版本的 RPM 程序包。此版本之容器图像的公告可访问以下网址查看：https://access.redhat.com/ errata/RHBA-2017:3390。因空间所限，无法在此公告中记录所有这些缺陷补丁与增强功能。如需有关这些变更的详细信息，请参阅下列版本说明文件，此版本不久将更新该文件：https://docs.openshift.com/container-platform/3.6/release_notes/ ocp_3_6_release_notes.html https://docs.openshift.com/container-platform/3.5/release_notes/ ocp_3_5_release_notes.html https://docs.openshift.com/container-platform/3.4/release_notes/ ocp_3_4_release_notes.html 建议所有 OpenShift Container Platform 3 用户升级到这些更新版程序包和图像。安全修复：* 知道验证和访问 Elasticsearch 所使用之特定名称的攻击者，之后无需令牌即可访问 Elasticsearch，进而绕过验证。此攻击也需要使用外部路由配置 Elasticsearch，且访问的数据仅限于索引。(CVE-2017-12195) 此问题的发现者为 Rich Megginson (Red Hat)。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119390	RHEL 7 : Red Hat OpenShift Enterprise (RHSA-2017:3389)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/7/17	medium
119389	RHEL 7 : Red Hat OpenShift Container Platform 3.7 (RHSA-2017:3188)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/6/3	medium
119389	RHEL 7：Red Hat OpenShift Container Platform 3.7（RHSA-2017:3188）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/6/3	medium
119390	RHEL 7：Red Hat OpenShift Enterprise（RHSA-2017:3389）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/7/17	medium
119389	RHEL 7：Red Hat OpenShift Container Platform 3.7 (RHSA-2017:3188)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/6/3	medium
119390	RHEL 7：Red Hat OpenShift Enterprise (RHSA-2017:3389)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/7/17	medium
119389	RHEL 7：Red Hat OpenShift Container Platform 3.7 (RHSA-2017:3188)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/6/3	medium
119390	RHEL 7：Red Hat OpenShift Enterprise (RHSA-2017:3389)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/7/17	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium