リモート Redhat Enterprise Linux 8 ホストに、RHSA-2020:3247 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    ovirt-engine パッケージは、システム管理者が仮想マシンの閲覧および管理を行える集中管理プラットフォームである Red Hat Enterprise Virtualization Manager を提供します。このマネージャーは、検索機能、リソース管理、ライブ移行、仮想インフラプロビジョニングを含む包括的な機能を提供します。

    このマネージャーは JBoss Application Server アプリケーションであり、管理ポータル、VM ポータル、および Representational State Transfer (REST) アプリケーションプログラミングインターフェース (API) を含む、仮想環境へのアクセスおよび相互作用が可能な複数のインターフェースを提供します。

    この更新プログラムのバグ修正プログラムのリストは次のテクニカルノートで入手できます：

    https://access.redhat.com/documentation/en-us/red_hat_virtualization/4.4/html-single/technical_notes

    セキュリティ修正プログラム: 

    * apache-commons-beanutils: デフォルトで PropertyUtilsBean 内のクラスプロパティを抑制しない (CVE-2019-10086)

    * libquartz: ジョブ説明を介した XXE 攻撃 (CVE-2019-13990)

    * novnc: メッセージがステータスフィールドに伝播することによる XSS の脆弱性 (CVE-2017-18635)

    * bootstrap: ツールチップまたはポップオーバーデータテンプレート属性の XSS (CVE-2019-8331)

    * nimbus-jose-jwt: JWT の解析中に捕捉されない例外 (CVE-2019-17195)

    * ovirt-engine: response_type パラメーターは折り返し型 XSS を阻止しない (CVE-2019-19336)

    * nodejs-minimist: プロトタイプ汚染を使用すると、コンストラクターや __proto__ ペイロードを使用して Object.prototype のプロパティを追加したり変更したりすることが可能です (CVE-2020-7598)

    * ovirt-engine: 任意の URL へのリダイレクトは、フィッシングを可能にします (CVE-2020-10775)

    * injQuery.htmlPrefilter メソッドが不適切なことによるクロスサイトスクリプティング (CVE-2020-11022)

    * jQuery: <option> 要素を含む HTML を操作メソッドに渡すと、信頼できないコードが実行される可能性があります (CVE-2020-11023)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

プラグインの検索

critical