RHEL 6：Red Hat OpenShift Enterprise 1.1 更新（重要）(RHSA-2013:0220)
low Nessus 插件 ID 119431
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:0220 公告中提及的多个漏洞影响。Red Hat OpenShift Enterprise 是种云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。
如需有关此版本中变更的信息，请参阅 Red Hat OpenShift Enterprise 1.1 版本说明。很快将可通过 https://access.redhat.com/knowledge/docs/ 获得发行说明
此更新也修复了以下安全问题：
//access.redhat.com/knowledge/docs/ 此更新也修复了下列安全问题：发现 Jenkins 的主密码编译密钥可通过托管 Jenkins 的 HTTP 服务器检索。远程攻击者可利用此缺陷，以运行 Jenkins 之用户的权限访问服务器并执行任意代码。请注意，此问题仅影响连接从属端也允许匿名读取访问（非默认配置）的 Jenkins 实例。修正此问题也需要进行手动操作。如需进一步信息，请参阅“参考”中链接的“Jenkins 安全性公告 2013-01-04”。
(CVE-2013-0158)
在调试模式下运行 rhc-chk 脚本时，其输出包含纯文本的敏感信息，例如数据库密码。此脚本常用于故障排除过程，因此这个缺陷可导致用户不小心在支持管道中泄露敏感信息（例如，Bugzilla 报告）。此更新会移除 rhc-chk 脚本。
(CVE-2012-5658)
Jenkins web 界面中的多个缺陷可让远程攻击者执行 HTTP 响应拆分攻击和跨站脚本 (XSS) 攻击，并利用开放重定向缺陷，将受害者重定向到任意页面。（CVE-2012-6072、CVE-2012-6074、CVE-2012-6073）
在 rubygem-activerecord 动态查找器从方法参数提取选项的方式中发现一个缺陷。远程攻击者可能利用此缺陷，针对使用 Active Record 动态查找器方法的应用程序执行 SQL 注入攻击。(CVE-2012-6496)
openshift-port-proxy-cfg 程序以不安全的方式创建一个临时文件。本地攻击者可利用此缺陷执行符号链接攻击，进而以 ‘0’ 或 ‘1’ 覆盖根用户可访问的任意文件，这可能会导致拒绝服务。默认情况下，OpenShift 会针对 /tmp/ 目录使用多实例（依据用户），从而将本地攻击者恶意利用的风险和影响降至最低。(CVE-2013-0164)
CVE-2013-0164 问题的发现者为 Red Hat 区域 IT 团队的 Michael Scherer。
建议 Red Hat OpenShift Enterprise 1.0 用户升级到 Red Hat OpenShift Enterprise 1.1。
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
http://www.nessus.org/u?0f8bc6d8
http://www.nessus.org/u?cecef8bb
https://access.redhat.com/errata/RHSA-2013:0220
https://access.redhat.com/knowledge/docs/
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=855264
https://bugzilla.redhat.com/show_bug.cgi?id=864921
https://bugzilla.redhat.com/show_bug.cgi?id=872415
https://bugzilla.redhat.com/show_bug.cgi?id=873765
https://bugzilla.redhat.com/show_bug.cgi?id=873768
https://bugzilla.redhat.com/show_bug.cgi?id=874511
https://bugzilla.redhat.com/show_bug.cgi?id=874750
https://bugzilla.redhat.com/show_bug.cgi?id=874751
https://bugzilla.redhat.com/show_bug.cgi?id=874757
https://bugzilla.redhat.com/show_bug.cgi?id=874799
https://bugzilla.redhat.com/show_bug.cgi?id=874845
https://bugzilla.redhat.com/show_bug.cgi?id=875657
https://bugzilla.redhat.com/show_bug.cgi?id=876324
https://bugzilla.redhat.com/show_bug.cgi?id=876465
https://bugzilla.redhat.com/show_bug.cgi?id=876644
https://bugzilla.redhat.com/show_bug.cgi?id=876937
https://bugzilla.redhat.com/show_bug.cgi?id=876939
https://bugzilla.redhat.com/show_bug.cgi?id=877158
https://bugzilla.redhat.com/show_bug.cgi?id=877407
https://bugzilla.redhat.com/show_bug.cgi?id=883527
https://bugzilla.redhat.com/show_bug.cgi?id=885587
https://bugzilla.redhat.com/show_bug.cgi?id=885598
https://bugzilla.redhat.com/show_bug.cgi?id=886159
https://bugzilla.redhat.com/show_bug.cgi?id=888043
https://bugzilla.redhat.com/show_bug.cgi?id=888056
https://bugzilla.redhat.com/show_bug.cgi?id=888671
https://bugzilla.redhat.com/show_bug.cgi?id=889062
https://bugzilla.redhat.com/show_bug.cgi?id=889088
https://bugzilla.redhat.com/show_bug.cgi?id=889095
https://bugzilla.redhat.com/show_bug.cgi?id=889125
https://bugzilla.redhat.com/show_bug.cgi?id=889649
https://bugzilla.redhat.com/show_bug.cgi?id=890607
https://bugzilla.redhat.com/show_bug.cgi?id=890608
https://bugzilla.redhat.com/show_bug.cgi?id=890612
https://bugzilla.redhat.com/show_bug.cgi?id=892781
https://bugzilla.redhat.com/show_bug.cgi?id=892795
https://bugzilla.redhat.com/show_bug.cgi?id=892990
https://bugzilla.redhat.com/show_bug.cgi?id=893288
https://bugzilla.redhat.com/show_bug.cgi?id=893307
插件详情
严重性: Low
ID: 119431
文件名: redhat-RHSA-2013-0220.nasl
版本: 1.9
类型: local
代理: unix
发布时间: 2018/12/6
最近更新时间: 2025/3/20
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
Vendor
Vendor Severity: Important
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2012-6496
CVSS v3
风险因素: Low
基本分数: 3.7
时间分数: 3.4
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2013-0158
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:rubygem-openshift-origin-console, p-cpe:/a:redhat:enterprise_linux:rubygem-openshift-origin-node, p-cpe:/a:redhat:enterprise_linux:openshift-origin-broker, p-cpe:/a:redhat:enterprise_linux:rubygem-openshift-origin-auth-remote-user, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-activerecord-doc, p-cpe:/a:redhat:enterprise_linux:openshift-origin-broker-util, p-cpe:/a:redhat:enterprise_linux:libmongodb, p-cpe:/a:redhat:enterprise_linux:openshift-origin-node-util, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-passenger, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-passenger-native, p-cpe:/a:redhat:enterprise_linux:openshift-origin-cartridge-ruby-1.9-scl, p-cpe:/a:redhat:enterprise_linux:openshift-origin-port-proxy, p-cpe:/a:redhat:enterprise_linux:jenkins, p-cpe:/a:redhat:enterprise_linux:rubygem-openshift-origin-common, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-passenger-devel, p-cpe:/a:redhat:enterprise_linux:openshift-console, p-cpe:/a:redhat:enterprise_linux:mongodb-server, p-cpe:/a:redhat:enterprise_linux:rubygem-activerecord, p-cpe:/a:redhat:enterprise_linux:ruby193-mod_passenger, p-cpe:/a:redhat:enterprise_linux:rubygem-openshift-origin-dns-bind, p-cpe:/a:redhat:enterprise_linux:rhc, p-cpe:/a:redhat:enterprise_linux:mongodb-devel, p-cpe:/a:redhat:enterprise_linux:openshift-origin-cartridge-ruby-1.8, p-cpe:/a:redhat:enterprise_linux:openshift-origin-cartridge-haproxy-1.4, p-cpe:/a:redhat:enterprise_linux:rubygem-openshift-origin-controller, p-cpe:/a:redhat:enterprise_linux:openshift-origin-msg-node-mcollective, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-activerecord, p-cpe:/a:redhat:enterprise_linux:mongodb, p-cpe:/a:redhat:enterprise_linux:rubygem-openshift-origin-console-doc, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-passenger-native-libs, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:rubygem-openshift-origin-msg-broker-mcollective, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-passenger-doc
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可利用: true
易利用性: Exploits are available
补丁发布日期: 2013/1/31
漏洞发布日期: 2013/1/3
参考资料信息
CVE: CVE-2012-5658, CVE-2012-6072, CVE-2012-6073, CVE-2012-6074, CVE-2012-6496, CVE-2013-0158, CVE-2013-0164