rhvm-appliance 的更新现在可用于 RHEL 7 的 Red Hat Virtualization 4。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。RHV-M Virtual Appliance 可自动化 Red Hat Virtualization Manager 的安装和配置过程。可从客户门户网站中，下载此设备为 OVA 文件。下列程序包已升级到更高的上游版本：rhvm-appliance (4.2)。(BZ#1558801, BZ#1563545) 安全修复：* python-paramiko：transport.py 中的验证绕过 (CVE-2018-7750) * slf4j：EventData 构造函数中的反序列化漏洞允许任意代码执行 (CVE-2018-8088) * undertow：客户端可在摘要认证中使用 bogus uri (CVE-2017-12196) * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 和 CVE-2017-17485 的修复不完整） (CVE-2018-5968) * ovirt-engine：通过登录 web 控制台进行帐户枚举 (CVE-2018-1073) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Chris McCown 报告 CVE-2018-8088。CVE-2017-12196 问题由 Jan Stourac (Red Hat) 发现。增强功能：* 之前，RHV-M Virtual Appliance 的默认内存配额足够大，可支援用户新增量。在此版本中，RHV-M Virtual Appliance 纳入了一个 swap 分割区，可在需要时增加内存。(BZ#1422982) * 先前，RHV-M Virtual Appliance 的分区方案包含两个主要分区，即“/”和 swap。在此版本中，磁碟分割区方案已经过调整，以符合 NIST 指定的方案。更新过的磁碟分割区如下：/boot 1G（主要）/home 1G (lvm) /tmp 2G (lvm) /var 20G (lvm) /var/log 10G (lvm) /var/log/audit 1G (lvm) swap 8G (lvm) / 6G（主要）(BZ#1463853) * 之前，版本标记被用来作为 RPM 命名方案的一部分（例如，“4.1.timestamp”），这造成上游和下游版本方案间有所差异。在此版本中，下游版本方案配合上游版本方案，时间戳已从版本标记移至版次标记。(BZ#1464486)

現已提供適用於 RHEL 7 之 Red Hat Virtualization 4 的 rhvm-appliance 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。RHV-M Virtual Appliance 可自動化 Red Hat Virtualization Manager 的安裝和設定程序。可從客戶入口網站將此應用裝置下載為 OVA 檔案。下列套件已升級至更新的上游版本：rhvm-appliance (4.2)。(BZ#1558801、BZ#1563545) 安全性修正：* python-paramiko：transport.py 中的驗證繞過 (CVE-2018-7750) * slf4j：EventData 建構函式中的還原序列化弱點可導致任意程式碼執行 (CVE-2018-8088) * undertow：用戶端可在摘要驗證中使用 bogus uri (CVE-2017-12196) * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 和 CVE-2017-17485 的修正不完整) (CVE-2018-5968) * ovirt-engine：透過登入 web 主控台進行的帳戶列舉 (CVE-2018-1073) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Chris McCown 報告 CVE-2018-8088。CVE-2017-12196 問題是由 Jan Stourac (Red Hat) 所發現。增強功能：* 先前，RHV-M Virtual Appliance 的預設記憶體配額大到足以支援使用者新增的量。在此版本中，RHV-M Virtual Appliance 納入了一個 swap 分割區，可在需要時增加記憶體。(BZ#1422982) * 先前，RHV-M Virtual Appliance 的分割配置包含兩個主要分割區，即「/」和 swap。在此版本中，磁碟分割區配置已經過調整，以符合 NIST 指定的配置。更新過的磁碟分割區如下：/boot 1G (主要) /home 1G (lvm) /tmp 2G (lvm) /var 20G (lvm) /var/log 10G (lvm) /var/log/audit 1G (lvm) swap 8G (lvm) / 6G (主要) (BZ#1463853) * 先前，版本標記被用來作為 RPM 命名配置的一部分 (例如，「4.1.timestamp」)，這造成上游和下游版本設定配置間有所出入。在此版本中，下游版本設定配置配合上游版本配置，時間戳記已從版本標記移至版次標記。(BZ#1464486)

rhvm-applianceの更新プログラムが、RHEL 7対応のRed Hat Virtualization 4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。RHV-M Virtual Applianceは、Red Hat Virtualization Managerのインストールおよび構成プロセスを自動化します。アプライアンスは、OVAファイルとしてCustomer Portalからダウンロードできます。次のパッケージが新しいアップストリームバージョンにアップグレードされました：rhvm-appliance （4.2）。（BZ#1558801、BZ#1563545）セキュリティ修正プログラム：* python-paramiko：transport.pyでの認証バイパス（CVE-2018-7750）* slf4j：EventDataコンストラクターのシリアル化解除の脆弱性により、任意のコードが実行される可能性があります（CVE-2018-8088）* undertow：クライアントはダイジェスト認証で偽のURIを使用する可能性があります（CVE-2017-12196）* jackson-databind：不完全なブラックリスト（CVE-2017-7525およびCVE-2017-17485の不完全な修正）による安全でない逆シリアル化（CVE-2018-5968）* ovirt-engine：Webコンソールへのログインを介したアカウント列挙（CVE-2018-1073）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。CVE-2017-12196の問題は、Jan Stourac氏（Red Hat）により発見されました。拡張機能：*以前は、RHV-M Virtual Applianceのデフォルトのメモリ割り当てには、ユーザー追加のサポートを含める大きさが十分ありました。このリリースでは、RHV-M Virtual Applianceに、スワップパーティションが含まれており、必要なときメモリを増加できます。（BZ#1422982）*以前は、RHV-M Virtual Applianceのパーティショニングの方法では、「/」とスワップの2つの主要なパーティションがありました。このリリースでは、ディスクのパーティショニングの方法が変更され、NISTが指定する方法に一致しています。更新されたディスクパーティションは次のとおりです：/boot 1G（primary）/home 1G（lvm）/tmp 2G（lvm）/var 20G（lvm）/var/log 10G（lvm）/var/log/audit 1G（lvm）swap 8G（lvm）/ 6G（primary）（BZ#1463853）*以前は、バージョンタグは「4.1.timestamp」のようにRPMの名前付け方式の一部として使用され、そのため、アップストリームとダウンストリームのバージョン付け方式で違いが生じていました。このリリースでは、ダウンストリームのバージョン付け方式がアップストリームのバージョン付け方式に揃えられ、タイプスタンプはバージョンタグからリリースタグに変更されました。（BZ#1464486）

The remote Redhat Enterprise Linux 7 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2018:1525 advisory.

    The RHV-M Virtual Appliance automates the process of installing and configuring the Red Hat Virtualization     Manager. The appliance is available to download as an OVA file from the Customer Portal.

    The following packages have been upgraded to a later upstream version: rhvm-appliance (4.2). (BZ#1558801,     BZ#1563545)

    Security Fix(es):

    * python-paramiko: Authentication bypass in transport.py (CVE-2018-7750)

    * slf4j: Deserialisation vulnerability in EventData constructor can allow for arbitrary code execution     (CVE-2018-8088)

    * undertow: Client can use bogus uri in Digest authentication (CVE-2017-12196)

    * jackson-databind: unsafe deserialization due to incomplete blacklist (incomplete fix for CVE-2017-7525     and CVE-2017-17485) (CVE-2018-5968)

    * ovirt-engine: account enumeration through login to web console (CVE-2018-1073)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

    Red Hat would like to thank Chris McCown for reporting CVE-2018-8088. The CVE-2017-12196 issue was     discovered by Jan Stourac (Red Hat).

    Enhancement(s):

    * Previously, the default memory allotment for the RHV-M Virtual Appliance was always large enough to     include support for user additions.

    In this release, the RHV-M Virtual Appliance includes a swap partition that enables the memory to be     increased when required. (BZ#1422982)

    * Previously, the partitioning scheme for the RHV-M Virtual Appliance included two primary partitions, /     and swap.

    In this release, the disk partitioning scheme has been modified to match the scheme specified by NIST. The     updated disk partitions are as follows:

    /boot 1G (primary)     /home 1G (lvm)     /tmp 2G (lvm)     /var 20G (lvm)     /var/log 10G (lvm)     /var/log/audit 1G (lvm)     swap 8G (lvm)     / 6G (primary) (BZ#1463853)

    * Previously, the version tag was used as part of the RPM's naming scheme, for example, 4.1.timestamp,     which created differences between the upstream and downstream versioning schemes. In this release, the     downstream versioning scheme is aligned with the upstream scheme and the timestamp has moved from the     version tag to the release tag. (BZ#1464486)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109910	RHEL 7：Virtualization (RHSA-2018:1525)	Nessus	Red Hat Local Security Checks	2018/5/18	2025/3/20	critical
109910	RHEL 7：Virtualization (RHSA-2018:1525)	Nessus	Red Hat Local Security Checks	2018/5/18	2025/3/20	critical
109910	RHEL 7：Virtualization（RHSA-2018:1525）	Nessus	Red Hat Local Security Checks	2018/5/18	2025/3/20	critical
109910	RHEL 7 : rhvm-appliance (RHSA-2018:1525)	Nessus	Red Hat Local Security Checks	2018/5/18	2025/3/20	critical

検出

プラグインの検索

critical

critical

critical

critical