リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2024:4006-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    cobbler:

    - 修正されたセキュリティ問題:

      * CVE-2024-47533:なしから管理者への権限昇格を防止します(bsc#1231332)

    - 修正されたその他のバグ:

      * cobblerd ユニットの開始タイムアウトを増加します(bsc#1219450)
      * DHCP モジュールにsync_single_systemを提供し、パフォーマンスを向上します(bsc#1219450)
      * input_string_*、input_boolean、input_int関数を公開 API に追加します
      * Uyuni 認証エンドポイントに新しい設定を追加(bsc#1219887)

    grafana-formula:

    - バージョン 0.11.0
      * SLES 15 SP6 を対応バージョンに追加(bsc#1228286)

    inter-server-sync:

    - バージョン 0.3.5-0
      * エクスポート用のブーリアン値をデコードします(bsc#1228545)

    saltboot-formula:

    - バージョン 0.1.1723628891.ffb1da5 に更新してください
      * 不要な警告を回避するためにリクエスト停止機能を修正(bsc#1212985)

    spacecmd: 

    - バージョン 4.3.29-0
      * softwarechannel_removepackagesを高速化します(bsc#1227606)

    spacewalk-backend：

    - バージョン 4.3.30-0
      * ISSv1 タイムゾーンを独立させます(bsc#1221505)
      * reposync:DEBチャネルの同期時にタイムアウトを導入(bsc#1225960)
      * yum_src:サブプロセスに適切な名前の変数名を使用します。タイムアウト期限切れ
      * パッケージのインポート時に PTF 属性をチェックして入力します(bsc#1225619)
      * reposync:GPG キーを RPM DB に個別にインポートします(bsc#1217003)
      * ディスク容量が不十分なためにサービスが停止した場合、ログ文字列をジャーナルに追加

    spacewalk-certs-tools:

    - バージョン 4.3.26-0
      * jabberd 証明書ファイルの秘密鍵の形式を修正します(bsc#1228851)
      * keyid にプレフィックスがない場合での権限キー識別子の解析を修正します(bsc#1229079)
      * root-ca-file および server-cert-file に対する複数の証明書をサポート

    spacewalk-client-tools:

    - バージョン 4.3.21-0
      * 翻訳文字列を更新してください

    spacewalk-config:

    - バージョン 4.3.14-0
      * AJP からの Content-Length ヘッダーを信頼します(bsc#1226439)

    spacewalk-java:

    - バージョン 4.3.82-0
      * フロントエンドログメッセージサイズを制限します(bsc#1231900)
    - バージョン 4.3.81-0
      * Ubuntuの検出を追加 24.04
    - バージョン 4.3.80-0
      * パフォーマンスを向上させるために、エラータビューの代わりにカスタム選択を使用します(bsc#1225619)
    - バージョン 4.3.79-0
      * cobbler の情報 URL を追加し、システムプロファイルをクリーンアップします(bsc#1219645)
      * Ubuntu に対して適切な scap パッケージが必要です
      * Debian 12 に対して適切な scap パッケージが必要です(bsc#1227746)
      * システム概要ページのsystem_checkin_threshold構成値の発見を修正します(bsc#1224108)
      * システムが Liberty 上の状態である場合、ベースチャネルの SUSE Liberty Linux LTSS への変更を許可します(bsc#1228326)
      * RHEL およびクローンから SUSE Liberty Linux への製品移行を実装します
      * プロキシ SSH known_hostsからもシステムを削除します(bsc#1228345)
      * サブスクリプションマッチャー入力を生成する際の NullPointerException を修正します(bsc#1228638)
      * 無料製品および SUSE Manager Proxy が SUSE Manager Server PAYG によって管理されることを許可します
      * 新しいページでブートストラップスクリプトディレクトリ URL を開きます(bsc#1225603)
      * Salt の更新時にパッケージリストのリフレッシュを遅らせます(bsc#1217978)
      * SLE Micro 5 を監視をサポートするシステムのリストに追加します(bsc#1227334)
      * すべての SLE Micro システムを PTF リポジトリを取得するシステムのリストに追加します
      * 少なくとも 1 回の製品が以前に同期された場合にのみ、最終同期更新タイムスタンプを更新します
      * 完了時間がない履歴イベントを一覧表示する際の NullPointerException を防ぎます(bsc#1146701)
      * 自動インストール:一部のネットワークによる IP アドレスの重複の問題を回避(bsc#1226461)
      * PTF パッケージをチェックするために、SQL クエリとパフォーマンスを向上します(bsc#1225619)
      * 製品移行の前に正しい Salt パッケージを確認してください(bsc#1224209)
      * HTTP API を使用する場合の日付形式出力を修正し、ISO 8601 形式を使用します(bsc#1227543)
      * SL Micro のトランザクション更新チェックを修正します(bsc#1227406)
      * システム検索のスコア比較を改善して ISE を修正(bsc#1228412)
      * yum-utils がインストールされていない場合の CentOS 7 のパッケージプロファイル更新を修正します(bsc#1227133)

    spacewalk-utils:

    - バージョン 4.3.22-0
      * Ubuntu 24.04 LTS のリポジトリを追加します
    - バージョン 4.3.21-0
      * サポートされていないツール spacewalk-final-archive が破損しており、機密情報が漏洩する可能性があるため、ドロップします(bsc#1228945)

    spacewalk-web:

    - 修正されたセキュリティ問題:

      * バージョン 4.3.42-0
        - CVE-2024-49503:XSS の脆弱性を緩和するために、組織認証情報のユーザー名をエスケープします(bsc#1231922)
      * バージョン 4.3.41-0
        - CVE-2024-49502:プロキシホスト名の形式を検証し、プロキシユーザー名をエスケープして、XSS の脆弱性を緩和します(bsc#1231852)

    - 修正されたバグ:

      * バージョン 4.3.40-0
        - SSM を使用してチャネル選択を修正します(bsc#1226917)
        - メンテナンスウィンドウを使用する場合の日時選択を修正します(bsc#1228036)

    susemanager:

    - バージョン 4.3.39-0
      * Ubuntu 24.04 LTS のブートストラップを有効にします
    - バージョン 4.3.38-0
      * 欠落しているパッケージ python3-ply をブートストラップリポジトリ定義に追加します(bsc#1228130)
      * ハブシナリオの LTSS 更新で SUSE Manager Server 4.3 用の特別なブートストラップデータを作成します(bsc#1211899)
      * LTSS 更新を SUSE Manager Proxy 4.3 ブートストラップデータに追加します
      * sles15sp6 で boostrap repo に従来型スタックを追加(bsc#1228147)
      * パッケージを sle15sp6 の libdbus-glib-1-2 に変更します(bsc#1228147)

    susemanager-build-keys:

    - 2048 ビット SUSE SLE 12、15 GA-SP5 キーを 2028 年まで延長しました。(bsc#1229339)

    susemanager-docs_en:

    - Ubuntu 24.04 LTS を Client でサポートされるクライアント OS として文書化しました
    - SUSE Manager 4.3.14 ドキュメント更新
    - ネットワークポートセクションで、部分的に古くなった画像を削除し、クライアント用ポート 443 を追加し、内部のみで使用される Cobbler を削除(bsc#1217338)
    - インストールおよびアップグレードガイドの URL のリストに installer-updates.suse.com を追加(bsc#1229178)
    - パブリッククラウドガイドの IAM ロールのアクセス許可に関する説明が強化されました。
    - クライアント構成ガイドの OS マイナー番号を修正(bsc#1218090)
    - Package Hub に関する警告を追加(bsc#1221435)
    - Client Configuration Guide の Package Management の章から Verify Packages セクションを削除しました
    - 管理ガイドの PAM セクションにユーザー名に関する注記を追加(bsc#1227599)
    - Red Hat Enterprise Linux 9(bsc#1226687)の Content Lifecycle Management(CLM)の例が更新されました
    - 『インストールおよびアップグレードガイド』に、VM ベースのプロキシインストールを追加しました
    - PostgreSQL 名エンティティを修正しました
    - 改善された大規模デプロイメントガイドにより、より優れたチューニング値と追加パラメーターが追加されました
    - 『管理ガイド』の openSCAP 章の SUSE Linux Enterprise 堅牢化プロファイルのリストを更新しました

    susemanager-schema:

    - バージョン 4.3.27-0
      * PTF パッケージを検出するための新しい属性を導入します(bsc#1225619)

    susemanager-sls:

    - バージョン 4.3.45-0
      * Ubuntu で始まるリポジトリソースの DEB822 形式の使用を開始 24.04
    - バージョン 4.3.44-0
      * ランナー mgrutil.remove_ssh_known_host高速化(bsc#1223312)
      * RHEL およびクローンから SUSE Liberty Linux への製品移行を実装します
      * ブートストラップで SLEM のトランザクション更新タイマーを無効にします
      * Python のバージョンを更新する際に、古い venv-minion 環境を明示的に削除します
      * sumautil:ブリッジインターフェイスを適切に検出します(bsc#1226461)
      * ディレクトリの誤字を修正し、システムを削除する際にクリーンアップします(bsc#1228101)
      * プロキシの背後にサーバー名とクライアントがある場合、GPG URL を変換します(bsc#1223988)
      * CentOS7 ミニオンにない yum-utils パッケージを修正します(bsc#1227133)
      * AWS インスタンス検出用に IMDSv2 を実装します(bsc#1226090)
      * yum-utils がインストールされていない場合の CentOS 7 のパッケージプロファイル更新を修正します(bsc#1227133)
      * PostgreSQL エクスポーター用の特殊文字でパスワードの解析を修正します

    susemanager-sync-data:

    - バージョン 4.3.21-0
      * SLES15-SP5-LTSS チャネルファミリーを追加
      * MicroOS PPC チャネルファミリーを追加
    - バージョン 4.3.20-0
      * Ubuntu 24.04 サポートを追加します
    - バージョン 4.3.19-0
      * CentOS 7 個のリポジトリ URL を修正します(bsc#1227526)
      * SLES 12 SP5 LTSS Extended Security のチャネルファミリーを追加
      * RHEL およびクローンから SUSE Liberty Linux への製品移行を実装します

    uyuni-common-libs:

    - バージョン 4.3.11-0
      * ディレクトリ作成時に repo-sync でディレクトリ権限を強制します(bsc#1229260)
      * ISSv1 タイムゾーンを独立させます(bsc#1221505)

    uyuni-reportdb-schema:

    - バージョン 4.3.11-0
      * varchar が最大値に達したときのテキストタイプになるように列CVEエラータを変更(bsc#1226478)

    この更新を適用する方法:

    1. SUSE Manager Server に root ユーザーとしてログインします。
    2. 以下を実行して Spacewalk サービスを停止します。
    「spacewalk-service stop」3. zypper パッチまたは YaST Online Update のいずれかを使用して、パッチを適用します。
    4. 以下を実行して Spacewalk サービスを開始します。
    「spacewalk-service start」

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ネットワークインストール環境の迅速なセットアップを可能にする Linux インストールサーバーである Cobbler に、不適切な認証の脆弱性があり、バージョン 3.0.03.2.3 と 3.3.7より前のものです。
    「utils.get_shared_secret()」は常に「-1」を返します。これにより、誰でもユーザー「」パスワード「-1」として cobbler XML-RPC に接続し、任意の変更を行うことができます。これにより、cobbler サーバーにネットワークでアクセスできる者は、サーバーを完全にコントロールできるようになります。バージョン 3.2.3 および 3.3.7 では、この問題が修正されます。CVE-2024-47533

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
212581	SUSE SLES15:cobbler / grafana-formula / inter-server-sync / mgr-daemon / etc(SUSE-SU-2024:4006-1)	Nessus	SuSE Local Security Checks	2024/12/12	2026/6/26	medium
260563	Linux Distros のパッチ未適用の脆弱性: CVE-2024-47533	Nessus	Misc.	2025/9/2	2025/9/2	critical

検出

プラグインの検索

medium

critical