CVE-2020-5247、CVE-2020-5249のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このrmt-serverへの更新では、以下の問題が修正されます：

バージョン 2.6.5

SCCリポジトリのURLが時間の経過とともに変化する潜在的なバグを解決しました。RMTは、以前の無効なリポジトリを削除し、正しいリポジトリを作成することで、自己回復するようになりました。

バージョン 2.6.4

/etc/rmt.confにWebサーバーの設定を追加します：スレッドの最小数と最大数、および/etc/rmt.confを通じて起動するWebサーバーワーカーの数を構成できるようになりました。

バージョン 2.6.3

カスタムリポジトリfriendly_idsにURLのMD5を使用する代わりに、RMTが名前からIDを構築するようになりました。

バージョン 2.6.2

タイムスタンプに基づいてRMTファイルのキャッシュを修正します：以前は、RMTは「If-Modified-Since」というヘッダー付きのGETリクエストをリポジトリサーバーに送信していましたが、その応答に304 (Not Modified)が含まれる場合は、ダウンロードする代わりにローカルキャッシュからファイルがコピーされていました。ただし、ローカルファイルのタイムスタンプが、リポジトリサーバー上の日付よりも後の日付に誤って変更されると、RMTに古いファイルが含まれることになるため、エラーが発生しました。現在、RMTはリポジトリサーバーに対してHEADリクエストを行い、「Last-Modified」ヘッダーを検査して、タイムスタンプの同一性を比較することで、ファイルをダウンロードするかキャッシュからコピーするかを決定します。

バージョン 2.6.1

「rmt-cli import repos」に相対パスが指定されるとコマンドが失敗する問題が修正されました。

バージョン 2.6.0

カスタムリポジトリのIDが使いやすくなりました：SCCおよびカスタムリポジトリの処理を簡素化するために、RMTのIDが使いやすくなりました。SCCリポジトリの場合は、以前と同じSCC IDです。カスタムリポジトリの場合は、ユーザーが指定するか、またはRMTによって生成されます（提供されたURLのMD5）。メリット：

  -「rmt-cli mirror repositories」が、カスタムリポジトリに対して機能するようになりました。

  - カスタムリポジトリIDがRMTインスタンス間で同一である可能性があります。

  -「rmt-cli」出力で「SCC ID」と「ID」を混同することがなくなりました。
    廃止の警告：

  - RMTは、カスタムリポジトリに対して以前とは異なるIDを使用するようになりました。RMTは引き続き古いIDをサポートしていますが、将来的な互換性を確保するために新しいIDの使用を開始することが推奨されます。

バージョン 2.5.20

railsが6.0.3.2から6.0.3.3に更新されました：

  - actionview（CVE-2020-15169）

バージョン 2.5.19

RMTでコマンド「rmt-cli system remove」を使用して、ローカルシステムを削除できるようになりました。

バージョン 2.5.18

「rmt-cli mirror」とそのサブコマンドの終了コードが修正されました。ミラーリング中にエラーが発生するたびに、1で終了するようになりました

「rtm-cli mirror」のメッセージロギングが改善されました。このコマンドでは、エラーを発生時に記録する代わりに、実行の最後にすべてのエラーをまとめます。ログメッセージに色が付けられ、失敗/成功を識別しやすくなりました。

バージョン 2.5.17

RMTは、インストーラー更新リポジトリをzypperサービスを通じてシステムに提供しなくなりました。このリポジトリは、インストールプロセス中に使用され、最新のインストールエクスペリエンスを提供するものの、すでにインストールされているシステムでは使用できないためです。

バージョン 2.5.16

RMTのrailsとpumaの依存関係が更新されました。

  - puma（CVE-2020-11076、CVE-2020-11077、CVE-2020-5249、CVE-2020-5247 CVE-2019-16770）

  - actionpack（CVE-2020-8185、 CVE-2020-8164、 CVE-2020-8166）

  - actionview（CVE-2020-8167、CVE-2020-5267、CVE-2019-5418、CVE-2019-5419）

  - activesupport（CVE-2020-8165）

  - railtie（CVE-2019-5420）

バージョン 2.5.15

RMTは、アクティベーションプロセス中にリポジトリが完全にミラーリングされているかどうかをチェックするようになりました。以前は、RMTはリポジトリのミラーリングが有効になっているかどうかのみをチェックしていましたが、実際にミラーリングされているかどうかはチェックしていませんでした。
この場合、RMTは、システムが持っているとみなすリポジトリデータを提供できませんでした。

バージョン 2.5.14

デフォルトで「Installer-Updates」リポジトリを有効にします

thorでエラーが発生した場合の廃止の警告が修正されました。また、rmt-cliが、thorエラーに対して0を返す代わりに、1を返します。

バージョン 2.5.13

ミラーリング対象としてマークされていない、リポジトリのローカルにミラーリングされたファイルを削除する「rmt-cli repos clean」コマンドが追加されました。

以前、RMTはデータベース内の重複排除されたファイルを追跡していませんでした。現在、「rmt-cli repos clean」に対応するために、RMTはミラーリングされたすべてのファイルを追跡します。

nginxリロードをnginx構成ファイルが含まれる構成パッケージに移動します。メインパッケージから無条件でnginxをリロードしません。

バージョン 2.5.12

バージョン2.2.3へのrackの更新（CVE-2020-8184：bsc#1173351）

バージョン5.2.4.3へのRailsの更新：

  - actionpack（CVE-2020-8164：bsc#1172177）

  - actionpack（CVE-2020-8166：bsc#1172182）

  - activesupport（CVE-2020-8165：bsc#1172186）

  - actionview（CVE-2020-8167：bsc#1172184）

バージョン 2.5.11

rmt-server-pubcloud ：

  - SLES11 EOL

  - 利用可能なサブスクリプションに基づいた拡張アクティベーションの検証

  - 手動のインスタンス検証スクリプトが追加されました

バージョン 2.5.10

Ruby 2.7で実行するためにrmt-serverをサポートします（Factory / Tumbleweed）：

  - gemの「構成」バージョンを1.7.2から2.2.1に更新して、非互換性Ruby 2.7 OpenStructクラスを修正します。

  - gemの「ethon」バージョンも更新するために、gemの「typhoeus」バージョンを1.3.1から1.4.0に更新します。これにより、Ruby 2.7で「rb_safe_level」警告が発生しました 。

  - ソースコードのRuby 2.7警告「キーワード引数としての最後の引数」を修正します。

  - Ruby 2.7からの「廃止予定」警告を無効にします。Rails 5.1はRuby 2.7で大量の警告を生成します。これは主に、廃止された「Proc.newで所定のブロックをキャプチャしています」のためです。

  - OBSで構成されるディストリビューションのデフォルトRubyバージョンのみを考慮するように、RPM仕様を改善します。

  - RPM仕様を改善し、「バンドラー」に関するRuby 2.7の警告を削除します。

nginx/vhosts.dディレクトリを正しいサブパッケージに移動します。これらは、rmt-serverではなく、nginxとともに必要です。

特にコンテナ化された使用の依存関係を修正します：

  - mariadbおよびnginxはハード要件ではなく、別のホストで実行できます

一般的な依存関係を修正します：

  - systemdの順序がありませんでした

  - プレインストールにはshadowが必要です

バージョン 2.5.9

rmt-server-pubcloud：厳格な認証を強制します

バージョン 2.5.8

repomd_parser gemを使用して、リポジトリメタデータ解析コードを削除します。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このrmt-serverへの更新では、以下の問題が修正されます：

バージョン2.6.5への更新：SCCリポジトリのURLが時間の経過とともに変化する潜在的なバグを解決しました。RMTは、以前の無効なリポジトリを削除し、正しいリポジトリを作成することで、自己回復するようになりました。

/etc/rmt.confにWebサーバーの設定を追加します：スレッドの最小数と最大数、および/etc/rmt.confを通じて起動するWebサーバーワーカーの数を構成できるようになりました。

カスタムリポジトリfriendly_idsにURLのMD5を使用する代わりに、RMTが名前からIDを構築するようになりました。

タイムスタンプに基づいてRMTファイルのキャッシュを修正します：以前は、RMTは「If-Modified-Since」というヘッダー付きのGETリクエストをリポジトリサーバーに送信していましたが、その応答に304 (Not Modified)が含まれる場合は、ダウンロードする代わりにローカルキャッシュからファイルがコピーされていました。ただし、ローカルファイルのタイムスタンプが、リポジトリサーバー上の日付よりも後の日付に誤って変更されると、RMTに古いファイルが含まれることになるため、エラーが発生しました。現在、RMTはリポジトリサーバーに対してHEADリクエストを行い、「Last-Modified」ヘッダーを検査して、タイムスタンプの同一性を比較することで、ファイルをダウンロードするかキャッシュからコピーするかを決定します。

「rmt-cli import repos」に相対パスが指定されるとコマンドが失敗する問題が修正されました。

カスタムリポジトリのIDが使いやすくなりました：SCCおよびカスタムリポジトリの処理を簡素化するために、RMTのIDが使いやすくなりました。SCCリポジトリの場合は、以前と同じSCC IDです。カスタムリポジトリの場合は、ユーザーが指定するか、またはRMTによって生成されます（提供されたURLのMD5）。メリット：

  -「rmt-cli mirror repositories」が、カスタムリポジトリに対して機能するようになりました。

  - カスタムリポジトリIDがRMTインスタンス間で同一である可能性があります。

  -「rmt-cli」出力で「SCC ID」と「ID」を混同することがなくなりました。
    廃止の警告：

  - RMTは、カスタムリポジトリに対して以前とは異なるIDを使用するようになりました。RMTは引き続き古いIDをサポートしていますが、将来的な互換性を確保するために新しいIDの使用を開始することが推奨されます。

セキュリティ修正のためにrailsとpumaの依存関係が更新されました。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このrmt-serverへの更新では、以下の問題が修正されます：

  - バージョン 2.6.5

  - SCCリポジトリのURLが時間の経過とともに変化する潜在的なバグを解決しました。RMTは、以前の無効なリポジトリを削除し、正しいリポジトリを作成することで、自己回復するようになりました。

  - バージョン 2.6.4

  - /etc/rmt.confにWebサーバーの設定を追加します：スレッドの最小数と最大数、および/etc/rmt.confを通じて起動するWebサーバーワーカーの数を構成できるようになりました。

  - バージョン 2.6.3

  - カスタムリポジトリfriendly_idsにURLのMD5を使用する代わりに、RMTが名前からIDを構築するようになりました。

  - バージョン 2.6.2

  - タイムスタンプに基づいてRMTファイルのキャッシュを修正します：以前は、RMTは「If-Modified-Since」というヘッダー付きのGETリクエストをリポジトリサーバーに送信していましたが、その応答に304 (Not Modified)が含まれる場合は、ダウンロードする代わりにローカルキャッシュからファイルがコピーされていました。ただし、ローカルファイルのタイムスタンプが、リポジトリサーバー上の日付よりも後の日付に誤って変更されると、RMTに古いファイルが含まれることになるため、エラーが発生しました。現在、RMTはリポジトリサーバーに対してHEADリクエストを行い、「Last-Modified」ヘッダーを検査して、タイムスタンプの同一性を比較することで、ファイルをダウンロードするかキャッシュからコピーするかを決定します。



  - バージョン 2.6.1

  -「rmt-cli import repos」に相対パスが指定されるとコマンドが失敗する問題が修正されました。

  - バージョン 2.6.0

  - カスタムリポジトリのIDが使いやすくなりました：SCCおよびカスタムリポジトリの処理を簡素化するために、RMTのIDが使いやすくなりました。SCCリポジトリの場合は、以前と同じSCC IDです。カスタムリポジトリの場合は、ユーザーが指定するか、またはRMTによって生成されます（提供されたURLのMD5）。メリット：

  -「rmt-cli mirror repositories」が、カスタムリポジトリに対して機能するようになりました。

  - カスタムリポジトリIDがRMTインスタンス間で同一である可能性があります。

  -「rmt-cli」出力で「SCC ID」と「ID」を混同することがなくなりました。
    廃止の警告：

  - RMTは、カスタムリポジトリに対して以前とは異なるIDを使用するようになりました。RMTは引き続き古いIDをサポートしていますが、将来的な互換性を確保するために新しいIDの使用を開始することが推奨されます。

  - バージョン 2.5.20

  - railsが6.0.3.2から6.0.3.3に更新されました：

  - actionview（CVE-2020-15169）

  - バージョン 2.5.19

  - RMTでコマンド「rmt-cli system remove」を使用して、ローカルシステムを削除できるようになりました。

  - バージョン 2.5.18

  -「rmt-cli mirror」とそのサブコマンドの終了コードが修正されました。ミラーリング中にエラーが発生するたびに、1で終了するようになりました

  -「rtm-cli mirror」のメッセージロギングが改善されました。このコマンドでは、エラーを発生時に記録する代わりに、実行の最後にすべてのエラーをまとめます。ログメッセージに色が付けられ、失敗/成功を識別しやすくなりました。

  - バージョン 2.5.17

  - RMTは、インストーラー更新リポジトリをzypperサービスを通じてシステムに提供しなくなりました。このリポジトリは、インストールプロセス中に使用され、最新のインストールエクスペリエンスを提供するものの、すでにインストールされているシステムでは使用できないためです。

  - バージョン 2.5.16

  - RMTのrailsとpumaの依存関係が更新されました。

  - puma（CVE-2020-11076、CVE-2020-11077、CVE-2020-5249、CVE-2020-5247 CVE-2019-16770）

  - actionpack（CVE-2020-8185、 CVE-2020-8164、 CVE-2020-8166）

  - actionview（CVE-2020-8167、CVE-2020-5267、CVE-2019-5418、CVE-2019-5419）

  - activesupport（CVE-2020-8165）

  - railtie（CVE-2019-5420）

  - バージョン 2.5.15

  - RMTは、アクティベーションプロセス中にリポジトリが完全にミラーリングされているかどうかをチェックするようになりました。以前は、RMTはリポジトリのミラーリングが有効になっているかどうかのみをチェックしていましたが、実際にミラーリングされているかどうかはチェックしていませんでした。この場合、RMTは、システムが持っているとみなすリポジトリデータを提供できませんでした。

  - バージョン 2.5.14

  - デフォルトで「Installer-Updates」リポジトリを有効にします

  - thorでエラーが発生した場合の廃止の警告が修正されました。また、rmt-cliが、thorエラーに対して0を返す代わりに、1を返します。

  - バージョン 2.5.13

  - ミラーリング対象としてマークされていないリポジトリのローカルにミラーリングされたファイルが削除する、「rmt-cli repos clean」コマンドが追加されました。

  - 以前、RMTはデータベース内の重複排除されたファイルを追跡していませんでした。現在、「rmt-cli repos clean」に対応するために、RMTはミラーリングされたすべてのファイルを追跡します。

  - nginxリロードをnginx構成ファイルが含まれる構成パッケージに移動します。メインパッケージから無条件でnginxをリロードしません。

  - バージョン 2.5.12

  - バージョン 2.2.3への更新（CVE-2020-8184：
    bsc#1173351）

  - バージョン 5.2.4.3へのRailsの更新：

  - actionpack（CVE-2020-8164：bsc#1172177）

  - actionpack（CVE-2020-8166：bsc#1172182）

  - activesupport（CVE-2020-8165：bsc#1172186）

  - actionview（CVE-2020-8167：bsc#1172184）

  - バージョン 2.5.11

  - rmt-server-pubcloud：

  - SLES11 EOL

  - 利用可能なサブスクリプションに基づいた拡張アクティベーションの検証

  - 手動のインスタンス検証スクリプトが追加されました

  - バージョン 2.5.10

  - Ruby 2.7で実行するためにrmt-serverをサポートします（Factory / Tumbleweed）：

  - gemの「構成」バージョンを1.7.2から2.2.1に更新して、非互換性Ruby 2.7 OpenStructクラスを修正します。

  - gemの「ethon」バージョンも更新するために、gemの「typhoeus」バージョンを1.3.1から1.4.0に更新します。これにより、Ruby 2.7で「rb_safe_level」警告が発生しました 。

  - ソースコードのRuby 2.7警告「キーワード引数としての最後の引数」を修正します。

  - Ruby 2.7からの「廃止予定」警告を無効にします。Rails 5.1はRuby 2.7で大量の警告を生成します。これは主に、廃止された「Proc.newで所定のブロックをキャプチャしています」のためです。

  - OBSで構成されるディストリビューションのデフォルトRubyバージョンのみを考慮するように、RPM仕様を改善します。

  - RPM仕様を改善し、「バンドラー」に関するRuby 2.7の警告を削除します。

  - nginx/vhosts.dディレクトリを正しいサブパッケージに移動します。
    これらは、rmt-serverではなく、nginxとともに必要です。

  - 特にコンテナ化された使用の依存関係を修正します：

  - mariadbおよびnginxはハード要件ではなく、別のホストで実行できます

  - 一般的な依存関係を修正します：

  - systemdの順序がありませんでした

  - プレインストールにはshadowが必要です

  - バージョン 2.5.9

  - rmt-server-pubcloud：厳格な認証を強制します

  - バージョン 2.5.8

  - repomd_parser gemを使用して、リポジトリメタデータ解析コードを削除します。

この更新はSUSEからインポートされました：SLE-15-SP1: 更新プロジェクトを更新します。

このrmt-serverへの更新では、以下の問題が修正されます：

バージョン 2.6.5 に更新してください：

  - SCCリポジトリのURLが時間の経過とともに変化する潜在的なバグを解決しました。RMTは、以前の無効なリポジトリを削除し、正しいリポジトリを作成することで、自己回復するようになりました。

  - /etc/rmt.confにWebサーバーの設定を追加します：スレッドの最小数と最大数、および/etc/rmt.confを通じて起動するWebサーバーワーカーの数を構成できるようになりました。

  - カスタムリポジトリfriendly_idsにURLのMD5を使用する代わりに、RMTが名前からIDを構築するようになりました。

  - タイムスタンプに基づいてRMTファイルのキャッシュを修正します：以前は、RMTは「If-Modified-Since」というヘッダー付きのGETリクエストをリポジトリサーバーに送信していましたが、その応答に304 (Not Modified)が含まれる場合は、ダウンロードする代わりにローカルキャッシュからファイルがコピーされていました。ただし、ローカルファイルのタイムスタンプが、リポジトリサーバー上の日付よりも後の日付に誤って変更されると、RMTに古いファイルが含まれることになるため、エラーが発生しました。現在、RMTはリポジトリサーバーに対してHEADリクエストを行い、「Last-Modified」ヘッダーを検査して、タイムスタンプの同一性を比較することで、ファイルをダウンロードするかキャッシュからコピーするかを決定します。

  -「rmt-cli import repos」に相対パスが指定されるとコマンドが失敗する問題が修正されました。

  - カスタムリポジトリのIDが使いやすくなりました：SCCおよびカスタムリポジトリの処理を簡素化するために、RMTのIDが使いやすくなりました。SCCリポジトリの場合は、以前と同じSCC IDです。カスタムリポジトリの場合は、ユーザーが指定するか、またはRMTによって生成されます（提供されたURLのMD5）。メリット：

  -「rmt-cli mirror repositories」が、カスタムリポジトリに対して機能するようになりました。

  - カスタムリポジトリIDがRMTインスタンス間で同一である可能性があります。

  -「rmt-cli」出力で「SCC ID」と「ID」を混同することがなくなりました。
    廃止の警告：

  - RMTは、カスタムリポジトリに対して以前とは異なるIDを使用するようになりました。RMTは引き続き古いIDをサポートしていますが、将来的な互換性を確保するために新しいIDの使用を開始することが推奨されます。

  - セキュリティ修正のためにrailsとpumaの依存関係が更新されました。

この更新はSUSEからインポートされました：SLE-15-SP2: 更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
135373	Fedora 31：rubygem-puma（2020-fd87f90634）	Nessus	Fedora Local Security Checks	2020/4/10	2024/3/19	high
143623	SUSE SLES15セキュリティ更新プログラム：rmt-server（SUSE-SU-2020:3160-1）	Nessus	SuSE Local Security Checks	2020/12/9	2025/7/7	critical
143751	SUSE SLES15セキュリティ更新プログラム：rmt-server（SUSE-SU-2020:3036-1）	Nessus	SuSE Local Security Checks	2020/12/9	2025/7/7	critical
143225	openSUSEセキュリティ更新プログラム：rmt-server（openSUSE-2020-2000）	Nessus	SuSE Local Security Checks	2020/11/24	2025/7/7	critical
143190	openSUSEセキュリティ更新プログラム：rmt-server（openSUSE-2020-1993）	Nessus	SuSE Local Security Checks	2020/11/23	2025/7/7	critical
135367	Fedora 30：rubygem-puma（2020-08092b4c97）	Nessus	Fedora Local Security Checks	2020/4/10	2024/3/19	high
143622	SUSE SLES15セキュリティ更新プログラム：rmt-server（SUSE-SU-2020:3147-1）	Nessus	SuSE Local Security Checks	2020/12/9	2025/7/7	critical

検出

プラグインの検索

high

critical

critical

critical

critical

high

critical