1 つのセキュリティ問題と多数のバグを修正する更新済みの rhevm パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Enterprise Virtualization Manager は、Red Hat Enterprise Linux および Microsoft Windows を実行している仮想マシンの収集を一元的に管理するためのビジュアルツールです。これらのパッケージには、Red Hat Enterprise Virtualization Manager REST（Representational State Transfer）の API も含まれています。これは、Red Hat Enterprise Virtualization Manager で、管理者がクエリと操作を行うことができるようにするための、スクリプト可能な一連のコマンドです。

RESTEasy が XML 外部エンティティ（XXE）攻撃に対して脆弱であることが判明しました。Red Hat Enterprise Virtualization Manager REST API にアクセスできるリモートの攻撃者が、ある外部 XML エンティティを含むリクエストを RESTEasy エンドポイントに送信すると、そのエンティティが判明する場合があります。これにより、攻撃者は、アプリケーションサーバーを実行しているユーザーにアクセス可能なファイルを読み取る可能性があります。この欠陥は、DOM（ドキュメントオブジェクトモデル）ドキュメントおよび JAXB（XML バインディング向け Java アーキテクチャ）の入力に影響を与えていました。（CVE-2012-0818）

この更新は以下のバグも修正します：

* これまで、REST API は「Accept」ヘッダーを無視していました。このため、ホストやディスクなどの、特定の sub-collections に関する詳細な情報を取り出すことができなくなっていました。REST API は更新されており、当初に意図したとおりに「Accept」ヘッダーを処理するようになりました。
（BZ#771369）

* 仮想マシンの「start_time」プロパティは、これまで絶えず設定されていました。
つまり、停止された仮想マシンでも、「start_time」の値を保持していました。更新により、「start_time」プロパティは、仮想マシンが起動されるときおよび実行中に限定して、確実に設定されるようになりました。（BZ#772975）

* これまで、「rhevm-setup」スクリプトは、ロケールが「en_US.UTF-8」、「en_US.utf-8」、または「en_US.utf8」に設定されたシステムでのみ、正常に動作していました。スクリプトは、「ja_JP.UTF-8」などのその他のロケールでも正常に動作するように、更新されています。
（BZ#784860）

* これまで、REST API は、電源管理を有効にする際に、必要なパラメーターがすべて指定されていることを検証していませんでした。返される応答コードは、必須パラメーターが指定されていない操作を成功したとして、間違って示す場合もありました。更新により、電源管理のパラメーターが確実に正しく検証されるようになりました。（BZ#785744）

* これまで、ホストでディスクの空き容量が少ない場合、警告もエラーも発行されませんでした。ホストでディスクの空き容量がなくなると、事前の警告なく反応しなくなる場合がありました。更新により、ホストのディスクの空き容量が 1000 MB 以下の場合に警告を、500 MB 以下の場合にエラーを、監査ログにそれぞれ報告するようになりました。（BZ#786132）

* ネットワークインターフェイスカードと既存の仮想マシンで、それぞれの MAC アドレスが衝突する場合、仮想マシンをインポートする際に、通知が提示されませんでした。現在これが発生すると、手動での対応が必要であることを強調するメッセージが監査ログに記入されます。
（BZ#795416）

* これまで、rhevm-config ツールを使用することで、SpiceSecureChannels には、1 つの値しか設定できませんでした。つまり、すべての SPICE チャネルを暗号化できなかったことになります。rhevm-config ツールは更新されており、SPICE チャネルを SpiceSecureChannels の構成キーに追加することで、すべて暗号化できるようになりました。（BZ#784012）

Red Hat Enterprise Virtualization の全ユーザーは、これらの更新済みパッケージにアップグレードして、この脆弱性に対応し、これらのバグを修正することが推奨されます。この更新のインストールについては、「ソリューション」セクションを参照してください。

自己報告バージョン番号によると、リモート Junos Space のバージョンは、13.3R1.8 より前です。このため、バンドルされたサードパーティソフトウェアコンポーネントの複数の脆弱性の影響を受けます：

- RedHat JBoss アプリケーションサーバーでの複数の脆弱性。（CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、 CVE-2011-5245、CVE-2012-0818）

- Oracle Java SE JDK での複数の脆弱性。
 （CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、 CVE-2013-2422）

- Oracle MySQL サーバーでの複数の脆弱性。
 （CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839）

- Apache HTTP Server での複数の脆弱性。
 （CVE-2013-1862、CVE-2013-1896）

- 既知のハードコードされた MySQL 認証情報。（CVE-2014-3413）

1 つのセキュリティ問題を修正する更新済みの resteasy のパッケージが、Red Hat Enterprise Linux 4、5、および 6 用の JBoss Enterprise Application Platform 5.1.2 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

RESTEasy は、RESTful Web サービスと RESTful Java アプリケーションを構築できるように、さまざまなフレームワークを提供します。

RESTEasy が XML 外部エンティティ（XXE）攻撃に対して脆弱であることが判明しました。リモートの攻撃者が、外部 XML エンティティを含むリクエストを RESTEasy エンドポイントに送信した場合、このエンティティが解決されます。これにより、攻撃者が、アプリケーションサーバーを実行するユーザーがアクセスできるファイルを読み取る可能性があります。この欠陥は、DOM（ドキュメントオブジェクトモデル）ドキュメントおよび JAXB（XML バインディング向け Java アーキテクチャ）の入力に影響を与えていました。(CVE-2012-0818)

注：デフォルトでは CVE-2012-0818 の修正は有効化されていません。この更新は、RESTEasy のエンティティ拡張を無効にする新しい構成オプションを追加します。サーバーのアプリケーションが RESTEasy XML エンドポイントを露出している場合、resteasy.document.expand.entity.references 構成スニペットを web.xml ファイルに追加し、RESTEasy でのエンティティ拡張を無効にする必要があります。詳細については、 Red Hat Bugzilla バグ 785631 を参照してください。

警告：この更新を適用する前に、その他すべてのカスタマイズした構成ファイルとともに、 JBoss Enterprise Application Platform「jboss-as/server/[PROFILE]/deploy/」ディレクトリのバックアップを行ってください。

Red Hat Enterprise Linux 4、5、6 上の JBoss Enterprise Application Platform 5.1.2 のユーザーは、これらの更新済みのパッケージにアップグレードし、この問題を修正することが推奨されています。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
79284	RHEL 6：rhevm（RHSA-2012:0421）	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
80195	Juniper Junos Space < 13.3R1.8 の複数の脆弱性（JSA10627）	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical
64046	RHEL 4/5/6：resteasy（RHSA-2012:1059）	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium

検出

プラグインの検索

medium

critical

medium