An update for heketi is now available for Red Hat Gluster Storage 3.3 for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Heketi provides a RESTful management interface which can be used to manage the life cycle of GlusterFS volumes. With Heketi, cloud services like OpenStack Manila, Kubernetes, and OpenShift can dynamically provision GlusterFS volumes with any of the supported durability types. Heketi will automatically determine the location for bricks across the cluster, making sure to place bricks and its replicas across different failure domains. Heketi also supports any number of GlusterFS clusters, allowing cloud services to provide network file storage without being limited to a single GlusterFS cluster.

Security Fix(es) :

* A security-check flaw was found in the way the Heketi server API handled user requests. An authenticated Heketi user could send specially crafted requests to the Heketi server, resulting in remote command execution as the user running Heketi server and possibly privilege escalation. (CVE-2017-15103)

* An access flaw was found in heketi, where the heketi.json configuration file was world readable. An attacker having local access to the Heketi server could read plain-text passwords from the heketi.json file. (CVE-2017-15104)

Red Hat would like to thank Markus Krell (NTT Security) for reporting CVE-2017-15103. The CVE-2017-15104 issue was discovered by Siddharth Sharma (Red Hat).

現已提供適用於 Red Hat Enterprise Linux 7 之 Red Hat Gluster Storage 3.3 的 heketi 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Heketi 提供的 RESTful 管理介面可用於管理 GlusterFS 磁碟區的生命週期。使用 Heketi 後，如 OpenStack Manila、Kubernetes 和 OpenShift 的雲端服務就可動態佈建具有任何受支援耐用性類型的 GlusterFS 磁碟區。Heketi 可自動判斷叢集間的 brick 位置，確保在不同的故障網域間放置 brick 及其複本。Heketi 也支援任意數量的 GlusterFS 叢集，允許雲端服務提供網路檔案儲存區，而又不限於單一 GlusterFS 叢集。安全性修正：* 在 Heketi 伺服器 API 處理使用者要求的方式中，發現一個安全性檢查缺陷。經驗證的 Heketi 使用者可傳送特製的要求到 Heketi 伺服器，在使用者執行 Heketi 伺服器時導致遠端命令執行，以及可能的權限提升。(CVE-2017-15103) * 在 heketi 中發現一個存取缺陷：heketi.json 組態檔案可全域讀取。具有 Heketi 伺服器本機存取權限的攻擊者可從 heketi.json 檔案讀取純文字密碼。(CVE-2017-15104) Red Hat 感謝 Markus Krell (NTT Security) 報告 CVE-2017-15103。CVE-2017-15104 問題是由 Siddharth Sharma (Red Hat) 所發現。

heketiの更新プログラムが、Red Hat Enterprise Linux 7対応のRed Hat Gluster Storage 3.3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Heketiは、GlusterFSボリュームのライフサイクルを管理するために使用できるRESTful管理インターフェイスを提供します。Heketiにより、OpenStack Manila、Kubernetes、OpenShiftなどのクラウドサービスは、サポートされているあらゆる耐久性タイプでGlusterFSボリュームを動的にプロビジョニングできます。Heketiは、クラスタ全体のブリックの場所を自動的に判断し、異なる障害ドメインにブリックとそのレプリカを配置するようにします。Heketiは任意の数のGlusterFSクラスターもサポートしているため、クラウドサービスは単一のGlusterFSクラスターに限定されることなくネットワークファイルストレージを提供できます。セキュリティ修正プログラム：* HeketiサーバーAPIがユーザーの要求を処理する方法にセキュリティチェックの欠陥が見つかりました。認証されたHeketiユーザーは、特別に細工された要求をHeketiサーバに送信する可能性があります。その結果、Heketiサーバを実行しているユーザーとしてリモートでコマンドが実行され、権限昇格が起こる可能性があります。（CVE-2017-15103）* heketi.json設定ファイルが全ユーザーに読み取り可能であったアクセス欠陥がheketiに見つかりました。Heketiサーバーへのローカルアクセスを持つ攻撃者が、heketi.jsonファイルからプレーンテキストのパスワードを読み取る可能性があります。（CVE-2017-15104）Red Hatは、CVE-2017-15103を報告してくれたMarkus Krell氏（NTT Security）に感謝の意を表します。CVE-2017-15104の問題はSiddharth Sharma氏（Red Hat）によって発見されました。

Security fix for CVE-2017-15103 and CVE-2017-15104

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

heketi 的更新现可用于 Red Hat Enterprise Linux 7 的 Red Hat Gluster Storage 3.3。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Heketi 提供的 RESTful 管理界面可用于管理 GlusterFS 卷的生命周期。使用 Heketi，如 OpenStack Manila、Kubernetes 和 OpenShift 的云端服务即可动态配置具有任何受支持耐用类型的 GlusterFS 卷。Heketi 可自动判断群集间的块位置，确保在不同的故障域间放置块及其副本。Heketi 也支持任意数量的 GlusterFS 群集，允许云服务提供网路文件存储，而又不限于单一 GlusterFS 群集。安全修复：* 在 Heketi 服务器 API 处理用户请求的方式中，发现一个安全性检查缺陷。经验证的 Heketi 用户可发送特制的请求到 Heketi 服务器，在用户运行 Heketi 服务器时导致远程命令执行，以及可能的权限提升。(CVE-2017-15103) * 在 heketi 中发现一个访问缺陷，其 heketi.json 配置文件为所有人皆可读取。具有 Heketi 服务器本地访问权限的攻击者可从 heketi.json 文件读取纯文字密码。(CVE-2017-15104) Red Hat 在此感谢 Markus Krell (NTT Security) 报告 CVE-2017-15103。CVE-2017-15104 问题由 Siddharth Sharma (Red Hat) 发现。

CVE-2017-15103とCVE-2017-15104のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
105407	RHEL 7 : heketi (RHSA-2017:3481)	Nessus	Red Hat Local Security Checks	2017/12/21	2019/10/24	high
105407	RHEL 7：heketi (RHSA-2017:3481)	Nessus	Red Hat Local Security Checks	2017/12/21	2019/10/24	high
105407	RHEL 7：heketi（RHSA-2017:3481）	Nessus	Red Hat Local Security Checks	2017/12/21	2019/10/24	high
105736	Fedora 26 : heketi (2017-f7cbe22fd8)	Nessus	Fedora Local Security Checks	2018/1/11	2021/1/6	high
105804	Fedora 27 : heketi (2017-01ad8b3946)	Nessus	Fedora Local Security Checks	2018/1/15	2021/1/11	high
105407	RHEL 7：heketi (RHSA-2017:3481)	Nessus	Red Hat Local Security Checks	2017/12/21	2019/10/24	high
105736	Fedora 26：heketi（2017-f7cbe22fd8）	Nessus	Fedora Local Security Checks	2018/1/11	2021/1/6	high
105804	Fedora 27：heketi（2017-01ad8b3946）	Nessus	Fedora Local Security Checks	2018/1/15	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

high

high