This update for yast2-smt to 3.0.14 and smt to 3.0.37 fixes the following issues :

These security issues were fixed in SMT :

CVE-2018-12471: Xml External Entity processing in the RegistrationSharing modules allowed to read arbitrary file read (bsc#1103809).

CVE-2018-12470: SQL injection in RegistrationSharing module allows remote attackers to run arbitrary SQL statements (bsc#1103810).

CVE-2018-12472: Authentication bypass in sibling check facilitated further attacks on SMT (bsc#1104076).

SUSE would like to thank Jake Miller for reporting these issues to us.

These non-security issues were fixed in SMT: Fix cron jobs randomization (bsc#1097560)

Fix duplicate migration paths (bsc#1097824)

This non-security issue was fixed in yast2-smt: Remove cron job rescheduling (bsc#1097560)

Added missing translation marks (bsc#1037811)

Explicitly mention 'Organization Credentials' (fate#321759)

Rearrange the SMT set-up dialog (bsc#977043)

Make the Filter button default (bsc#1006984)

Prevent exiting the repo selection dialog via hitting Enter in the repository filter (bsc#1006984)

report when error occurs during repo mirroring (bsc#1006989)

Use TextEntry-based filter for repos (fate#319777)

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このyast2-smtの3.0.14へのおよびsmtの3.0.37への更新では、次の問題を修正します：

次のセキュリティ問題は、SMTで修正されました：

CVE-2018-12471：RegistrationSharingモジュールでのXML外部エンティティ処理により、任意のファイルを読み取ることができました（bsc#1103809）。

CVE-2018-12470：RegistrationSharingモジュールでのSQLインジェクションにより、リモート攻撃者が、任意のSQLステートメントを実行することができます（bsc#1103810）。

CVE-2018-12472：siblingチェックの認証バイパスにより、SMTへの追加攻撃が容易になりました（bsc#1104076）。

SUSEは、これらの問題を報告してくれたJake Miller氏に感謝の意を表します。

これらのセキュリティ以外の問題は、SMTで修正されました：cronジョブのランダム化を修正します（bsc#1097560）

重複する移行パスを修正します（bsc#1097824）

yast2-smtでこのセキュリティ以外の問題が修正されました。cronジョブのスケジュール変更を削除します（bsc#1097560）

欠落していた翻訳マークが追加されました（bsc#1037811）

明示的に「組織の認証情報」に言及します（fate#321759）

SMTセットアップダイアログを再配置します（bsc#977043）

フィルターボタンをデフォルトにします（bsc#1006984）

リポジトリフィルターで[Enter]をクリックことでリポジトリ選択ダイアログが終了しないようにします（bsc#1006984）

リポジトリのミラーリング中にエラーが発生した場合に報告します（bsc#1006989）

リポジトリにTextEntryベースのフィルターを使用します（fate#319777）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

SMT was updated to version 3.0.38.

Following security issue was fixed :

CVE-2018-12472: Harden hostname check during sibling check by forcing double reverse lookup (bsc#1104076)

Following non security issues were fixed: Add migration path check when registration sharing is enabled

Fix sibling sync errors (bsc#1111056) :

  - Synchronize all registered products

  - Handle duplicate registrations when syncing

  - Force resync to the sibling instance in `upgrade` and     `synchronize` API calls

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for smt to 2.0.34 fixes the following issues :

These security issues were fixed :

CVE-2018-12471: Xml External Entity processing in the RegistrationSharing modules allowed to read arbitrary file read (bsc#1103809)

CVE-2018-12470: SQL injection in RegistrationSharing module allows remote attackers to run arbitary SQL statements (bsc#1103810)

CVE-2018-12472: Authentication bypass in sibling check facilitated further attacks on SMT (bsc#1104076)

SUSE would like to thank Jake Miller for reporting these issues to us.

The update package also includes non-security fixes. See advisory for details.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このsmtの2.0.34への更新では、次の問題を修正します：

次のセキュリティ問題が修正されました：

CVE-2018-12471：RegistrationSharingモジュールでのXML外部エンティティ処理により、任意のファイルを読み取ることができました（bsc#1103809）

CVE-2018-12470：RegistrationSharingモジュールでのSQLインジェクションにより、リモート攻撃者が、任意のSQLステートメントを実行することができます（bsc#1103810）

CVE-2018-12472：siblingチェックの認証バイパスにより、SMTへの追加攻撃が容易になりました（bsc#1104076）

SUSEは、これらの問題を報告してくれたJake Miller氏に感謝の意を表します。

更新パッケージには、セキュリティ以外の修正も含まれています。詳細については、アドバイザリを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

SMTはバージョン 3.0.38に更新しました。

以下のセキュリティ問題が修正されました：

CVE-2018-12472：二重逆引きを強制することで、siblingチェック中のホスト名のチェックを強化します（bsc#1104076）

次の非セキュリティ問題が修正されました。登録共有が有効な場合の移行パスチェックを追加します

sibling同期エラーを修正します（bsc#1111056）：

  - すべての登録製品を同期します

  - 同期時に重複登録を処理します

  -「更新」および「同期」API呼び出しで、siblingインスタンスへの再同期を強制します

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
118295	SUSE SLES12 Security Update : smt, yast2-smt (SUSE-SU-2018:2898-2)	Nessus	SuSE Local Security Checks	2018/10/22	2022/2/4	critical
118295	SUSE SLES12セキュリティ更新プログラム：smt、yast2-smt（SUSE-SU-2018:2898-2）	Nessus	SuSE Local Security Checks	2018/10/22	2022/2/4	critical
117822	SUSE SLES12 Security Update : smt, yast2-smt (SUSE-SU-2018:2898-1)	Nessus	SuSE Local Security Checks	2018/9/28	2022/2/18	critical
118459	SUSE SLES12 Security Update : smt (SUSE-SU-2018:3467-1)	Nessus	SuSE Local Security Checks	2018/10/26	2022/2/2	critical
117899	SUSE SLES11 Security Update : smt (SUSE-SU-2018:2899-1)	Nessus	SuSE Local Security Checks	2018/10/3	2024/8/1	critical
117899	SUSE SLES11セキュリティ更新プログラム：smt（SUSE-SU-2018:2899-1）	Nessus	SuSE Local Security Checks	2018/10/3	2024/8/1	critical
118459	SUSE SLES12セキュリティ更新プログラム：smt（SUSE-SU-2018:3467-1）	Nessus	SuSE Local Security Checks	2018/10/26	2022/2/2	critical
117822	SUSE SLES12セキュリティ更新プログラム：smt、yast2-smt（SUSE-SU-2018:2898-1）	Nessus	SuSE Local Security Checks	2018/9/28	2022/2/18	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical