The remote Redhat Enterprise Linux 7 host has a package installed that is affected by a vulnerability as referenced in the RHSA-2019:2433 advisory.

    Cockpit is a Linux system adminstration tool with a web UI, easy setup, and minimal system footprint at     runtime. When installed on hosts in Red Hat Virtualization, it provides monitoring and management     functions beyond those available in the Administration Portal. Cockpit is installed by default on Red Hat     Virtualization Host (RHVH).

    The following packages have been upgraded to a later upstream version: cockpit-ovirt (0.13.5).
    (BZ#1705911, BZ#1711192, BZ#1719317, BZ#1723322)

    Security Fix(es):

    * cockpit-ovirt: admin and appliance passwords saved in plain text variable file during HE deployment     (CVE-2019-10139)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

    Bug Fix(es):

    * In this release, the directory /var/lib/ovirt-hosted-engine-setup/cockpit is created with read     permissions only for user 'root'. Non 'root' users cannot view this directory. (BZ#1723322)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2019:2437 advisory.

    The redhat-virtualization-host packages provide the Red Hat Virtualization Host. These packages include     redhat-release-virtualization-host, ovirt-node, and rhev-hypervisor. Red Hat Virtualization Hosts (RHVH)     are installed using a special build of Red Hat Enterprise Linux with only the packages required to host     virtual machines. RHVH features a Cockpit user interface for monitoring the host's resources and     performing administrative tasks.

    The following packages have been upgraded to a later upstream version: imgbased (1.1.9), ovirt-node-ng     (4.3.5), redhat-release-virtualization-host (4.3.5), redhat-virtualization-host (4.3.5). (BZ#1669357,     BZ#1669365, BZ#1684986, BZ#1711193, BZ#1717250, BZ#1726917)

    Security Fix(es):

    * python: regression of CVE-2019-9636 due to functional fix to allow port numbers in netloc     (CVE-2019-10160)

    * rsyslog: imptcp: integer overflow when Octet-Counted TCP Framing is enabled (CVE-2018-16881)

    * edk2: stack overflow in XHCI causing denial of service (CVE-2019-0161)

    * openssl: 0-byte record padding oracle (CVE-2019-1559)

    * cockpit-ovirt: admin and appliance passwords saved in plain text variable file during HE deployment     (CVE-2019-10139)

    * sssd: improper implementation of GPOs due to too restrictive permissions (CVE-2018-16838)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

redhat-virtualization-hostの更新プログラムがRed Hat Enterprise Linux 7用のRed Hat Virtualization 4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。redhat-virtualization-hostパッケージは、Red Hat Virtualization Hostを提供します。これらのパッケージには、redhat-release-virtualization-host、ovirt-node、rhev-hypervisorが含まれています。Red Hat Virtualization Hosts（RHVH）は、仮想マシンをホストするために必要なパッケージのみを備えたRed Hat Enterprise Linuxの特別なビルドを使用してインストールされています。RHVHには、ホストのリソースを監視し管理タスクを実行するためのCockpitユーザーインターフェイス機能があります。次のパッケージが新しいアップストリームバージョンにアップグレードされました：imgbased（1.1.9）、ovirt-node-ng（4.3.5）、redhat-release-virtualization-host（4.3.5）、redhat-virtualization-host（4.3.5）。（BZ#1669357、BZ#1669365、BZ#1684986、BZ#1711193、BZ#1717250、BZ#1726917）セキュリティ修正：* python：netlocのポート番号を許可する機能修正によるCVE-2019-9636のリグレッション（CVE-2019-10160）* rsyslog：imptcp：Octet-Counted TCP Framingが有効な場合の整数オーバーフロー（CVE-2018-16881）* edk2：サービス拒否を引き起こすXHCIでのスタックオーバーフロー（CVE-2019-0161）* openssl ：0バイトレコードパディングオラクル（CVE-2019-1559）* cockpit-ovirt：HE展開中に管理者とアプライアンスのパスワードをプレーンテキストの変数ファイルに保存（CVE-2019-10139）* sssd：過度に制限した許可によるGPOの不適切な実装（CVE-2018-16838）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

cockpit-ovirtの更新プログラムが、Red Hat Enterprise Linux 7のRed Hat Virtualization 4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。cockpitは、Web UI、簡単な設定、実行時の最小限のシステムフットプリントを備えたLinuxシステム管理ツールです。Red Hat Virtualizationのホストにインストールすると、管理ポータルで利用できる機能を超える監視および管理機能が提供されます。cockpitは、デフォルトでRed Hat Virtualization Host（RHVH）にインストールされています。次のパッケージが新しいアップストリームバージョンにアップグレードされました：cockpit-ovirt（0.13.5）。（BZ#1705911、BZ#1711192、BZ#1719317、BZ#1723322）セキュリティ修正プログラム：* cockpit-ovirt：HE展開中に管理者とアプライアンスのパスワードがプレーンテキストの変数ファイルに保存される（CVE-2019-10139）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：*このリリースでは、/var/lib/ovirt-hosted-engine-setup/cockpディレクトリが作成され、「root」ユーザーにのみ読み取り権限が付与されます。「root」以外のユーザーはこのディレクトリを表示できません。（BZ#1723322）

redhat-virtualization-host 的更新现在可用于 Red Hat Enterprise Linux 7 的 Red Hat Virtualization 4。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。redhat-virtualization-host 程序包提供 Red Hat Virtualization Host。这些程序包包括 redhat-release-virtualization-host、ovirt-node 和 rhev-hypervisor。Red Hat Virtualization Host (RHVH) 使用特殊版本的 Red Hat Enterprise Linux 安装，仅包含主机虚拟机所需的程序包。RHVH 以监控主机资源和执行管理任务的 Cockpit 用户界面为特色。下列程序包已升级到更新的上游版本：imgbased (1.1.9)、ovirt-node-ng (4.3.5)、redhat-release-virtualization-host (4.3.5)、redhat-virtualization-host (4.3.5)。(BZ#1669357, BZ#1669365, BZ#1684986, BZ# 1711193, BZ#1717250, BZ#1726917) 安全修复：* python：因为需要在 netloc 中允许端口数字所进行的功能修复而导致 CVE-2019-9636 回归 (CVE-2019-10160) * rsyslog：imptcp：当启用 Octet-Counted TCP Framing 时发生整数溢出 (CVE-2018-16881) * edk2：XHCI 中发生堆栈溢出，造成拒绝服务 (CVE-2019-0161) * openssl：0 字节记录 padding oracle (CVE-2019-1559) * cockpit-ovirt：在 HE 部署期间，在纯文本变量文件中保存管理和设备密码 (CVE-2019-10139) * sssd：因为权限限制过于严格而导致 GPO 的不当实施 (CVE-2018-16838) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

cockpit-ovirt 的更新现在可用于 Red Hat Enterprise Linux 7 的 Red Hat Virtualization 4。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Cockpit 是一种 Linux 系统管理工具，具有 Web UI，可轻松设定，且尽量减少运行阶段的系统占用空间。安装在 Red Hat Virtualization 中的主机上时，除了管理门户中提供的功能之外，还提供监控和管理功能。Cockpit 默认安装在 Red Hat Virtualization Host (RHVH) 上。下列程序包已升级到更高的上游版本：cockpit-ovirt (0.13.5)。(BZ#1705911, BZ#1711192, BZ#1719317, BZ#1723322) 安全修复：* cockpit-ovirt：HE 部署期间，管理员和设备密码保存在纯文本变量文件之中 (CVE-2019-10139) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：* 在此版本中，系统只会针对用户 'root'建立具有读取权限的目录 /var/lib/ovirt-hosted-engine-setup/cockpit。非 'root' 用户无法查看此目录。(BZ#1723322)

現已提供適用於 Red Hat Enterprise Linux 7 之 Red Hat Virtualization 4 的 redhat-virtualization-host 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。redhat-virtualization-host 套件提供 Red Hat Virtualization Host。這些套件包含 redhat-release-virtualization-host、ovirt-node 和 rhev-hypervisor。Red Hat Virtualization Hosts (RHVH) 使用特別的 Red Hat Enterprise Linux 組建來安裝，其中僅包含主機虛擬機器所必須的套件。RHVH 提供 Cockpit 使用者介面，可用來監控主機的資源並執行系統管理作業。下列套件已升級至更新的上游版本：imgbased (1.1.9)、ovirt-node-ng (4.3.5)、redhat-release-virtualization-host (4.3.5)、redhat-virtualization-host (4.3.5)。(BZ#1669357、BZ#1669365、BZ#1684986、BZ# 1711193、BZ#1717250、BZ#1726917) 安全性修正：* python：因為要允許在 netloc 中使用連接埠號碼所進行的功能修正而導致 CVE-2019-9636 迴歸 (CVE-2019-10160) * rsyslog：imptcp：啟用 Octet-Counted TCP Framing 時發生整數溢位 (CVE-2018-16881) * edk2：XHCI 中發生堆疊溢位，進而造成拒絕服務 (CVE-2019-0161) * openssl：0 位元組記錄 padding oracle (CVE-2019-1559) * cockpit-ovirt：在 HE 部署期間，以純文字變數檔儲存的管理員和應用裝置密碼 (CVE-2019-10139) * sssd：因為權限過於嚴格而導致 GPO 的不當實作 (CVE-2018-16838) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

現已提供適用於 Red Hat Enterprise Linux 7 之 Red Hat Virtualization 4 的 cockpit-ovirt 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Cockpit 是一種 Linux 系統管理工具，具有 Web UI，可輕鬆設定，且執行階段的系統使用量最低。安裝在 Red Hat Virtualization 中的主機上時，除了系統管理入口網站中提供的功能之外，還提供監控和管理功能。Cockpit 預設安裝在 Red Hat Virtualization Host (RHVH) 上。下列套件已升級至更新的上游版本：cockpit-ovirt (0.13.5)。(BZ#1705911、BZ#1711192、BZ#1719317、BZ#1723322) 安全性修正：* cockpit-ovirt：在 HE 部署期間，系統管理員和應用裝置的密碼會以純文字變數檔案儲存 (CVE-2019-10139) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。錯誤修正：* 在此版本中，系統只會針對使用者 ‘root’ 建立具有讀取權限的目錄 /var/lib/ovirt-hosted-engine-setup/cockpit。非 ‘root’ 使用者無法檢視此目錄。(BZ#1723322)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
127829	RHEL 7 : cockpit-ovirt (RHSA-2019:2433)	Nessus	Red Hat Local Security Checks	2019/8/13	2024/6/3	high
127986	RHEL 7 : Red Hat Virtualization (RHSA-2019:2437)	Nessus	Red Hat Local Security Checks	2019/8/20	2024/6/3	critical
127986	RHEL 7：Virtualization Manager（RHSA-2019:2437）	Nessus	Red Hat Local Security Checks	2019/8/20	2024/6/3	critical
127829	RHEL 7：cockpit-ovirt（RHSA-2019:2433）	Nessus	Red Hat Local Security Checks	2019/8/13	2024/6/3	high
127986	RHEL 7：Virtualization Manager (RHSA-2019:2437)	Nessus	Red Hat Local Security Checks	2019/8/20	2024/6/3	critical
127829	RHEL 7 : cockpit-ovirt (RHSA-2019:2433)	Nessus	Red Hat Local Security Checks	2019/8/13	2024/6/3	high
127986	RHEL 7：Virtualization Manager (RHSA-2019:2437)	Nessus	Red Hat Local Security Checks	2019/8/20	2024/6/3	critical
127829	RHEL 7：cockpit-ovirt (RHSA-2019:2433)	Nessus	Red Hat Local Security Checks	2019/8/13	2024/6/3	high

検出

プラグインの検索

high

critical

critical

high

critical

high

critical

high