Red Hat OpenShift Enterprise 2.2.7 版现在连同程序包更新予以提供，可修复数个错误并推出增强功能。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Red Hat 的 OpenShift Enterprise 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。因篇幅所限，无法在此公告中记载所有缺陷修复。如需有关这些变更的详细信息，请参阅 OpenShift Enterprise 技术札记，这项信息不久将在 2.2.7 版中更新。此版本已解决下述安全问题：在 Jenkins API 令牌发放服务中发现缺陷。此服务无法正确保护匿名用户，可能允许远程攻击者提升权限。(CVE-2015-1814) 发现组合筛选 Groovy 脚本可能允许远程攻击者在 Jenkins 主机上执行任意代码。(CVE-2015-1806) 发现在生成项目时，Jenkins 服务器将遵循符号链接，进而可能导致服务器上的信息泄露。(CVE-2015-1807) Jenkins 处理特定更新中心数据的方式中发现拒绝服务缺陷。经验证的用户可向 Jenkins 提供特制的更新中心数据，进而造成插件和工具安装运行不正常。(CVE-2015-1808) 发现 Jenkins 的 XPath 处理允许 XML 外部实体 (XXE) 扩展。拥有读取访问权的远程攻击者可利用此缺陷读取 Jenkins 服务器上的任意 XML 文件。(CVE-2015-1809) 发现内部 Jenkins 用户数据库未限制访问保留的名称，进而允许用户提升权限。(CVE-2015-1810) 发现 Jenkins 的 XML 处理允许 XML 外部实体 (XXE) 扩展。能够将 XML 数据传递到 Jenkins 的远程攻击者可利用此缺陷读取 Jenkins 服务器上的任意 XML 文件。(CVE-2015-1811) 在 Jenkins 中发现两个跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷，针对使用 Jenkins 的应用程序用户，进行 XSS 攻击。(CVE-2015-1812, CVE-2015-1813) https://access.redhat.com/documentation/en-US/OpenShift_Enterprise/2/ html-single/Technical_Notes/index.html 建议所有 OpenShift Enterprise 2 用户升级到这些更新版程序包。

检测

RHEL 6：Red Hat OpenShift Enterprise 2.2.7 (RHSA-2015:1844)

high Nessus 插件 ID 119363

未找到变更日志