CentOS 5:conga (CESA-2014:1194)

medium Nessus 插件 ID 77989

简介

远程 CentOS 主机缺少一个或多个安全更新。

描述

更新后的 conga 程序包修复了多个安全问题和若干缺陷,现在可用于 Red Hat Enterprise Linux 5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数,其给出了详细的严重性等级。

Conga 项目是远程工作站的管理系统。它包括 luci 和 ricci 两部分,前者是一款基于 Web 的安全前端,而后者是一款将传入消息分发到底层管理模块的安全后台程序。

已发现作为 luci 的一部分随附的 Plone 没有正确保护管理员界面(控制面板)。远程攻击者可利用此缺陷向 Plone 的受限制 Python 沙盒中注入特别构建的 Python 语句或脚本,当访问管理员界面时,能够以该管理员用户的权限执行这些语句或脚本。(CVE-2012-5485)

已发现作为 luci 的一部分随附的 Plone 没有对在某些 URL 请求内提供的 HTTP 标头进行适当的审查。A remote attacker could use a specially crafted URL that, 远程攻击者可以使用特别构建的 URL,在进行处理时,使注入的 HTTP 标头作为 Plone HTTP 响应的一部分返回,这可能引发攻击者执行其他更高级的攻击。(CVE-2012-5486)

在 conga 处理与 luci 站点扩展相关的 URL 请求的方式中发现多种信息泄漏缺陷。未经认证的远程攻击者可以发布特别构建的 HTTP 请求,在进行处理时,可能导致未授权的信息泄露。
(CVE-2013-6496)

已发现并非将与 luci 站点扩展相关的 URL 中的各种组件适当限制为由管理用户使用。经过认证的远程攻击者可以升级其权限,以执行应仅由管理用户才能执行的特定操作,例如添加用户和系统以及查看日志数据。(CVE-2014-3521)

已发现作为 luci 的一部分随附的 Plone 没有正确保护运行 RestrictedPython 脚本的权限。远程攻击者可以使用特别构建的 URL,在进行处理时使攻击者提交并执行大量计算,或者与其他攻击相结合以访问或更改特权信息。(CVE-2012-5488)

已发现作为 luci 的一部分随附的 Plone 没有正确地在成员关系数据库中实施权限检查。远程攻击者可以使用特别构建的 URL,在进行处理时使攻击者枚举用户帐户名称。
(CVE-2012-5497)

已发现作为 luci 的一部分随附的 Plone 没有正确处理某些集合的请求。远程攻击者可以使用特别构建的 URL,在进行处理时导致消耗过多的 I/O 和/或缓存资源。(CVE-2012-5498)

已发现作为 luci 的一部分随附的 Plone 没有正确处理传递至内部实用工具函数的超大值。远程攻击者可以使用特别构建的 URL,在进行处理时可能导致消耗过多的内存。(CVE-2012-5499)

已发现作为 luci 的一部分随附的 Plone 允许远程匿名用户更改内容项目的标题,原因是权限检查不当。(CVE-2012-5500)

CVE-2014-3521 问题由 Red Hat 的 Radek Steiger 发现,CVE-2013-6496 问题由 Red Hat 的 Jan Pokorny 发现。

此外,这些更新后的 conga 程序包中包含若干缺陷补丁。
空间有限,无法在此公告中记载所有这些更改。
有关这些更改的最重要的信息,用户可参阅在“参考”部分链接的 Red Hat Enterprise Linux 5.11 技术札记

建议所有 conga 用户升级这些更新后的程序包,其中包含用于修正这些问题的向后移植的修补程序。安装此更新后,luci 和 ricci 服务将自动重新启动。

解决方案

更新受影响的 conga 程序包。

另见

http://www.nessus.org/u?c2762c18

插件详情

严重性: Medium

ID: 77989

文件名: centos_RHSA-2014-1194.nasl

版本: 1.10

类型: local

代理: unix

发布时间: 2014/10/1

最近更新时间: 2021/1/4

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5.9

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2012-5485

漏洞信息

CPE: p-cpe:/a:centos:centos:luci, p-cpe:/a:centos:centos:ricci, cpe:/o:centos:centos:5

必需的 KB 项: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list

易利用性: No known exploits are available

补丁发布日期: 2014/9/30

漏洞发布日期: 2014/9/30

参考资料信息

CVE: CVE-2012-5485, CVE-2012-5486, CVE-2012-5488, CVE-2012-5497, CVE-2012-5498, CVE-2012-5499, CVE-2012-5500, CVE-2013-6496, CVE-2014-3521

BID: 56341, 69820, 69830

RHSA: 2014:1194