ipaの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat IdM（Identity Management）は、従来型の環境およびクラウドベースのエンタープライズ環境の両方に対する一元化された認証、ID管理、承認のソリューションです。セキュリティ修正プログラム：* IdMのca-delコマンド、ca-disableコマンド、ca-enableコマンドが、DogtagのCAを変更中にユーザーのアクセス許可を適切にチェックしていないことがわかりました。認証された、権限のない攻撃者がこの欠陥を使用して、CAを削除、無効化、有効化し、証明書の発行、OCSPの署名、および秘密鍵の削除に関するさまざまなサービス拒否の問題を引き起こす可能性があります。（CVE-2017-2590）この問題は、Fraser Tweedale氏（Red Hat）によって発見されました。バグ修正プログラム：* 以前は、ドメインレベル「1」以上で動作するIdM（Identity Management）レプリカのインストール中に、ディレクトリサーバーはTLS暗号化を使用するように設定されていませんでした。そのため、そのレプリカへの証明機関（CA）のインストールが失敗しました。現在、ディレクトリサーバーはレプリカへのインストール中にTLS暗号化を使用するように設定されているため、CAのインストールは想定どおりに動作します。（BZ#1410760）* 以前は、アイデンティティ管理（IdM）の公開鍵インフラストラクチャ（PKI）コンポーネントは、「::1」IPv6ローカルホストアドレスでリッスンするように構成されていました。IPv6プロトコルが無効になっている環境では、レプリカのインストーラーはディレクトリサーバーの証明書を取得できず、インストールに失敗していました。PKIコネクタのデフォルトのリスニングアドレスが、IPアドレスから「localhost」に更新されました。その結果、PKIコネクタはIPv4およびIPv6環境の正しいアドレスをリッスンするようになりました。（BZ#1416481）* 以前は、レプリカに認証局（CA）をインストールするときに、IdM（Identity Management）はサードパーティのCA証明書を証明書システムのCAインストーラーに提供できませんでした。そのため、リモートマスターがサードパーティのサーバー証明書を使用していてインストールが失敗した場合、インストーラーはリモートマスターに接続できませんでした。この更新プログラムではパッチが適用され、その結果、CAレプリカのインストールは、前述の状況で想定どおりに動作します。（BZ#1415158）* レプリカをインストールするとき、Identity Manager（IdM）マスターでWebサーバーサービスエントリが作成され、すべてのIdMサーバーにレプリケートされます。以前は、認証局（CA）なしでレプリカをインストールするとき、場合によっては所定の時間にサービスエントリを新しいレプリカにレプリケートできず、インストールが失敗することがありました。レプリカインストーラーが更新されて、Webサーバーサービスのエントリがレプリケートされるまで待機するようになりました。その結果、前述の状況でレプリカのインストールが失敗することはなくなりました。（BZ＃1416488）

リモートのMiracleLinux 7ホストには、AXSA:2017-1334:03アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    IPA は、一元管理されるアイデンティティ (ユーザー、ホスト、サービス)、認証 (SSO、2FA)、認証 (ホストアクセスコントロール、SELinux ユーザーロール、サービス) を提供する統合されたソリューションです。このソリューションは、Linux ベースのクライアントとのさらなる統合 (SUDO、自動マウント) や、Active Directory ベースのインフラ (Trusts) との統合のための機能を提供します。
    このリリースで修正されたセキュリティ問題
    CVE-2017-2590
    **予約**この候補は、新しいセキュリティの問題を発表するときに、それを使う組織または個人によって予約されています。候補が公表されるときに、この候補の詳細が提供されます。
    修正されたバグ：
    * 以前は、ドメインレベル1以降で実行されるIdMIdentity Managementレプリカのインストール中に、Directory ServerはTLS暗号化を使用するように設定されていませんでした。そのため、そのレプリカへの証明機関（CA）のインストールが失敗しました。現在、ディレクトリサーバーはレプリカへのインストール中にTLS暗号化を使用するように設定されているため、CAのインストールは想定どおりに動作します。
    * 以前は、アイデンティティ管理IdMの公開鍵インフラストラクチャPKIコンポーネントは、::1 IPv6ローカルホストアドレスでリッスンするように構成されていました。IPv6プロトコルが無効になっている環境では、レプリカのインストーラーはディレクトリサーバーの証明書を取得できず、インストールに失敗していました。
    PKI コネクタのデフォルトのリッスンアドレスが IP アドレスから localhost に更新されました。その結果、PKIコネクタはIPv4およびIPv6環境の正しいアドレスをリッスンするようになりました。
    * 以前は、レプリカに認証局CAをインストールするときに、IdMIdentity Managementはサードパーティの CA 証明書を証明書システムの CA インストーラーに提供できませんでした。そのため、リモートマスターがサードパーティのサーバー証明書を使用していてインストールが失敗した場合、インストーラーはリモートマスターに接続できませんでした。この更新プログラムではパッチが適用され、その結果、CAレプリカのインストールは、前述の状況で想定どおりに動作します。
    * レプリカをインストールする場合、Web サーバーサービスエントリはアイデンティティ管理IdMマスターで作成され、すべての IdM サーバーにレプリケートされます。以前は、認証局（CA）なしでレプリカをインストールするとき、場合によっては所定の時間にサービスエントリを新しいレプリカにレプリケートできず、インストールが失敗することがありました。レプリカインストーラーが更新されて、Webサーバーサービスのエントリがレプリケートされるまで待機するようになりました。その結果、前述の状況でレプリカのインストールが失敗することはなくなりました。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

出典：Red Hatセキュリティアドバイザリ2017：0388：ipaの更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat IdM（Identity Management）は、従来型の環境およびクラウドベースのエンタープライズ環境の両方に対する一元化された認証、ID管理、承認のソリューションです。セキュリティ修正プログラム：* IdMのca-delコマンド、ca-disableコマンド、ca-enableコマンドが、DogtagのCAを変更中にユーザーのアクセス許可を適切にチェックしていないことがわかりました。認証された、権限のない攻撃者がこの欠陥を使用して、CAを削除、無効化、有効化し、証明書の発行、OCSPの署名、および秘密鍵の削除に関するさまざまなサービス拒否の問題を引き起こす可能性があります。（CVE-2017-2590）この問題は、Fraser Tweedale氏（Red Hat）によって発見されました。バグ修正プログラム：* 以前は、ドメインレベル「1」以上で動作するIdM（Identity Management）レプリカのインストール中に、ディレクトリサーバーはTLS暗号化を使用するように設定されていませんでした。そのため、そのレプリカへの証明機関（CA）のインストールが失敗しました。現在、ディレクトリサーバーはレプリカへのインストール中にTLS暗号化を使用するように設定されているため、CAのインストールは想定どおりに動作します。（BZ#1410760）* 以前は、アイデンティティ管理（IdM）の公開鍵インフラストラクチャ（PKI）コンポーネントは、「::1」IPv6ローカルホストアドレスでリッスンするように構成されていました。IPv6プロトコルが無効になっている環境では、レプリカのインストーラーはディレクトリサーバーの証明書を取得できず、インストールに失敗していました。PKIコネクタのデフォルトのリスニングアドレスが、IPアドレスから「localhost」に更新されました。その結果、PKIコネクタはIPv4およびIPv6環境の正しいアドレスをリッスンするようになりました。（BZ#1416481）* 以前は、レプリカに認証局（CA）をインストールするときに、IdM（Identity Management）はサードパーティのCA証明書を証明書システムのCAインストーラーに提供できませんでした。そのため、リモートマスターがサードパーティのサーバー証明書を使用していてインストールが失敗した場合、インストーラーはリモートマスターに接続できませんでした。この更新プログラムではパッチが適用され、その結果、CAレプリカのインストールは、前述の状況で想定どおりに動作します。（BZ#1415158）* レプリカをインストールするとき、Identity Manager（IdM）マスターでWebサーバーサービスエントリが作成され、すべてのIdMサーバーにレプリケートされます。以前は、認証局（CA）なしでレプリカをインストールするとき、場合によっては所定の時間にサービスエントリを新しいレプリカにレプリケートできず、インストールが失敗することがありました。レプリカインストーラーが更新されて、Webサーバーサービスのエントリがレプリケートされるまで待機するようになりました。その結果、前述の状況でレプリカのインストールが失敗することはなくなりました。（BZ＃1416488）

CVE 2017-2590：freeipa：ipa：ca-del、ca-disable、ca-enableコマンドの不十分な権限チェック[fedora-all]

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ修正プログラム:

  - IdMのca-delコマンド、ca-disableコマンド、ca-enableコマンドが、DogtagのCAを変更中にユーザーのアクセス許可を適切にチェックしていないことがわかりました。認証された、権限のない攻撃者がこの欠陥を使用して、CAを削除、無効化、有効化し、証明書の発行、OCSPの署名、および秘密鍵の削除に関するさまざまなサービス拒否の問題を引き起こす可能性があります。（CVE-2017-2590）

バグ修正プログラム:

  - 以前は、ドメインレベル「1」以上で動作するIdM（Identity Management）レプリカのインストール中に、ディレクトリサーバーはTLS暗号化を使用するように設定されていませんでした。そのため、そのレプリカへの証明機関（CA）のインストールが失敗しました。現在、ディレクトリサーバーはレプリカへのインストール中にTLS暗号化を使用するように設定されているため、CAのインストールは想定どおりに動作します。

  - 以前は、アイデンティティ管理（IdM）の公開鍵インフラストラクチャ（PKI）コンポーネントは、「: : 1」IPv6ローカルホストアドレスでリッスンするように構成されていました。IPv6プロトコルが無効になっている環境では、レプリカのインストーラーはディレクトリサーバーの証明書を取得できず、インストールに失敗していました。PKIコネクタのデフォルトのリスニングアドレスが、IPアドレスから「localhost」に更新されました。その結果、PKIコネクタはIPv4およびIPv6環境の正しいアドレスをリッスンするようになりました。

  - 以前は、レプリカに認証局（CA）をインストールするときに、IdM（Identity Management）はサードパーティのCA証明書を証明書システムのCAインストーラーに提供できませんでした。そのため、リモートマスターがサードパーティのサーバー証明書を使用していてインストールが失敗した場合、インストーラーはリモートマスターに接続できませんでした。この更新プログラムではパッチが適用され、その結果、CAレプリカのインストールは、前述の状況で想定どおりに動作します。

  - レプリカをインストールするとき、Identity Manager（IdM）マスターでWebサーバーサービスエントリが作成され、すべてのIdMサーバーにレプリケートされます。以前は、認証局（CA）なしでレプリカをインストールするとき、場合によっては所定の時間にサービスエントリを新しいレプリカにレプリケートできず、インストールが失敗することがありました。レプリカインストーラーが更新されて、Webサーバーサービスのエントリがレプリケートされるまで待機するようになりました。その結果、前述の状況でレプリカのインストールが失敗することはなくなりました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
97511	RHEL 7：ipa（RHSA-2017:0388）	Nessus	Red Hat Local Security Checks	2017/3/3	2025/12/30	high
289914	MiracleLinux 7ipa-4.4.0-14.6.0.1.el7.AXS7AXSA:2017-1334:03	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
97507	Oracle Linux 7：ipa（ELSA-2017-0388）	Nessus	Oracle Linux Local Security Checks	2017/3/3	2024/10/23	high
97618	Fedora 25：freeipa（2017-98f85533f0）	Nessus	Fedora Local Security Checks	2017/3/9	2025/12/30	high
97515	Scientific Linux セキュリティ更新: SL7.x x86_64のipa（20170302）	Nessus	Scientific Linux Local Security Checks	2017/3/3	2025/12/30	high
97527	CentOS 7：ipa（CESA-2017:0388）	Nessus	CentOS Local Security Checks	2017/3/6	2021/1/4	high

検出

プラグインの検索

high

high

high

high

high

high