Updated augeas packages that fix two security issues, several bugs, and add various enhancements are now available for Red Hat Enterprise Linux 6.

The Red Hat Security Response Team has rated this update as having low security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

Augeas is a utility for editing configuration. Augeas parses configuration files in their native formats and transforms them into a tree. Configuration changes are made by manipulating this tree and saving it back into native configuration files. Augeas also uses 'lenses' as basic building blocks for establishing the mapping from files into the Augeas tree and back.

Multiple flaws were found in the way Augeas handled configuration files when updating them. An application using Augeas to update configuration files in a directory that is writable to by a different user (for example, an application running as root that is updating files in a directory owned by a non-root service user) could have been tricked into overwriting arbitrary files or leaking information via a symbolic link or mount point attack. (CVE-2012-0786, CVE-2012-0787)

The augeas package has been upgraded to upstream version 1.0.0, which provides a number of bug fixes and enhancements over the previous version. (BZ#817753)

This update also fixes the following bugs :

* Previously, when single quotes were used in an XML attribute, Augeas was unable to parse the file with the XML lens. An upstream patch has been provided ensuring that single quotes are handled as valid characters and parsing no longer fails. (BZ#799885)

* Prior to this update, Augeas was unable to set up the 'require_ssl_reuse' option in the vsftpd.conf file. The updated patch fixes the vsftpd lens to properly recognize this option, thus fixing this bug. (BZ#855022)

* Previously, the XML lens did not support non-Unix line endings.
Consequently, Augeas was unable to load any files containing such line endings. The XML lens has been fixed to handle files with CRLF line endings, thus fixing this bug. (BZ#799879)

* Previously, Augeas was unable to parse modprobe.conf files with spaces around '=' characters in option directives. The modprobe lens has been updated and parsing no longer fails. (BZ#826752)

All Augeas users are advised to upgrade to these updated packages, which contain backported patches to correct these issues and add these enhancements.

2 つのセキュリティ問題と複数のバグを修正し、さまざまな強化を追加する、更新済み augeas パッケージが、 Red Hat Enterprise Linux 6 で使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Augeas は、構成を編集するためのユーティリティです。Augeas により、ネイティブフォーマットでの構成ファイルが解析され、それらはツリーに変換されます。構成変更は、このツリーを操作し、それをネイティブ構成ファイルに戻して再度保存することで、行われます。Augeas により、ファイルから Augeas ツリーへおよび逆方向へのマッピングを確立するために、「lenses」も基本構築ブロックとして使用されます。

複数の欠陥が、Augeas で構成ファイルを更新するときにそれらを処理する方法で、見つかりました。異なるユーザーが書き込み可能なディレクトリの中の構成ファイルを更新するために、Augeas を使用するアプリケーションは（たとえば、 root 以外のサービスユーザーが所有するディレクトリの中のファイルを更新している root として、実行中のアプリケーション）、騙されて、シンボリックリンクまたはマウントポイント攻撃を介して、任意のファイルを上書きすることや、情報を漏洩する可能性があります。（CVE-2012-0786、CVE-2012-0787）

augeas パッケージが Upstream バージョン 1.0.0 にアップグレードされ、以前のバージョンに対する多数のバグ修正と拡張機能が行われています。（BZ#817753）

この更新は以下のバグも修正します：

* 以前は、一重引用符が XML 属性で使用されるとき、Augeas では XML lens でファイルを解析できませんでした。一重引用符が有効な文字として必ず処理され、解析が失敗しなくなるように、上流パッチが提供されています。（BZ#799885）

* この更新以前は、Augeas によって vsftpd.conf ファイルで「require_ssl_reuse」オプションを設定できませんでした。更新済みパッチにより、vsftpd lens でこのオプションが正しく認識されるように修正され、このバグは修正されます。（BZ#855022）

* これまで、XML lens は Unix 以外の行末に対応していませんでした。
その結果、そのような行末が含まれているファイルを、 Augeas によって読み込むことはできませんでした。XML lens が、CRLF 行末が含まれているファイルを処理するように修正され、このバグは修正されています。（BZ#799879）

* 以前は、Augeas では、オプションディレクティブで「=」文字の周囲にスペースがある modprobe.conf ファイルは解析できませんでした。modprobe lens が更新され、解析は失敗しなくなっています。（BZ#826752）

Augeas の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、拡張機能を追加することが推奨されます。

2 つのセキュリティ問題と複数のバグを修正し、さまざまな強化を追加する、更新済み augeas パッケージが、 Red Hat Enterprise Linux 6 で使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Augeas は、構成を編集するためのユーティリティです。Augeas により、ネイティブフォーマットでの構成ファイルが解析され、それらはツリーに変換されます。構成変更は、このツリーを操作し、それをネイティブ構成ファイルに戻して再度保存することで、行われます。Augeas により、ファイルから Augeas ツリーへおよび逆方向へのマッピングを確立するために、「lenses」も基本構築ブロックとして使用されます。

複数の欠陥が、Augeas で構成ファイルを更新するときにそれらを処理する方法で、見つかりました。異なるユーザーが書き込み可能なディレクトリの中の構成ファイルを更新するために、Augeas を使用するアプリケーションは（たとえば、 root 以外のサービスユーザーが所有するディレクトリの中のファイルを更新している root として、実行中のアプリケーション）、騙されて、シンボリックリンクまたはマウントポイント攻撃を介して、任意のファイルを上書きすることや、情報を漏洩する可能性があります。（CVE-2012-0786、 CVE-2012-0787）

augeas パッケージが Upstream バージョン 1.0.0 にアップグレードされ、以前のバージョンに対する多数のバグ修正と拡張機能が行われています。（BZ#817753）

この更新は以下のバグも修正します：

* 以前は、一重引用符が XML 属性で使用されるとき、Augeas では XML lens でファイルを解析できませんでした。一重引用符が有効な文字として必ず処理され、解析が失敗しなくなるように、上流パッチが提供されています。（BZ#799885）

* この更新以前は、Augeas によって vsftpd.conf ファイルで「require_ssl_reuse」オプションを設定できませんでした。更新済みパッチにより、vsftpd lens でこのオプションが正しく認識されるように修正され、このバグは修正されます。（BZ#855022）

* これまで、XML lens は Unix 以外の行末に対応していませんでした。
その結果、そのような行末が含まれているファイルを、 Augeas によって読み込むことはできませんでした。XML lens が、CRLF 行末が含まれているファイルを処理するように修正され、このバグは修正されています。（BZ#799879）

* 以前は、Augeas では、オプションディレクティブで「=」文字の周囲にスペースがある modprobe.conf ファイルは解析できませんでした。modprobe lens が更新され、解析は失敗しなくなっています。（BZ#826752）

Augeas の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、拡張機能を追加することが推奨されます。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 augeas 套件，可修正兩個安全性問題、數個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Augeas 為用於編輯組態的公用程式。Augeas 會剖析原生格式的組態檔，並將其轉換為樹狀結構。組態的變更方式為操控此樹狀結構，再將其存回原生組態檔中。Augeas 也會將‘lenses’用作基礎建構區塊，以從檔案至 Augeas 樹狀結構及反向操作中建立對應。

更新組態檔時，在 Augeas 處理組態檔的方式中發現多個瑕疵。若應用程式使用 Augeas 來更新其他使用者可寫入之目錄中的組態檔 (例如以 root 身分執行的應用程式，更新了屬於非 root 服務使用者之目錄中的檔案)，則可因遭到誘騙而覆寫任意檔案，或是透過符號連結或掛載點攻擊來洩漏資訊。(CVE-2012-0786、CVE-2012-0787)

augeas 套件已升級至 1.0.0 上游版本，相較於先前的版本，此版本提供幾個錯誤修正與增強功能。(BZ#817753)

此更新也可修正下列錯誤：

* 在先前的版本中，XML 屬性中若使用單引號，Augeas 無法使用 XML lens 剖析檔案。已提供上游修補程式，可確保系統將單引號處理為有效字元，且剖析不再會失敗。(BZ#799885)

* 此更新之前的版本中，Augeas 無法設定 vsftpd.conf 檔案中的 'require_ssl_reuse' 選項。更新版修補程式將 vsftpd lens 修正為可正確識別此選項，因而修正了此錯誤。(BZ#855022)

* 之前，XML lens 不支援非 Unix 行結尾。
因此 Augeas 無法載入任何含有這類行結尾的檔案。XML lens 已修正為可處理含有 CRLF 行結尾的檔案，因而修正了此錯誤。(BZ#799879)

* 之前，Augeas 無法剖析選項指示詞中「=」字元前後有空格的 modprobe.conf 檔案。modprobe lens 已更新，且剖析不再會失敗。(BZ#826752)

建議所有 Augeas使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

更新后的 augeas 程序包修复了两个安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Augeas 是用于编辑配置的实用工具。Augeas 可解析本机格式的配置文件，并将它们转换为树状结构。操控此树状结构并将其存回本机配置文件，即可更改配置。Augeas 还将“lenses”用作基础构建块，以建立从文件到 Augeas 树状结构和区块的映射。

当更新配置文件时，在 Augeas 处理这些文件的方式中发现多种缺陷。使用 Augeas 更新目录中可被不同用户写入的配置文件的应用程序（例如，以根身份运行、用于更新非根服务用户拥有的目录中文件的应用程序），可能受到诱骗通过符号链接或挂载点攻击覆盖任意文件或泄漏信息。（CVE-2012-0786、CVE-2012-0787）

augeas 程序包已升级到上游版本 1.0.0，其提供了对之前版本的多项缺陷补丁和增强。(BZ#817753)

此更新还修复以下缺陷：

* 以前，在 XML 属性中使用单引号时，Augeas 无法解析包含 XML lens 的文件。已提供上游修补程序，确保单引号处理成有效的字符，解析不再失败。(BZ#799885)

* 在此更新之前，Augeas 无法在 vsftpd.conf 文件中设置“require_ssl_reuse”选项。更新后的修补程序修复了 vsftpd lens，可正确识别此选项，从而修复了此缺陷。(BZ#855022)

* 以前，XML lens 不支持非 Unix 行结束符。
结果，Augeas 无法加载包含这些行结束符的任何文件。XML lens 已经修复，可处理包含 CRLF 行结束符的文件，从而修复了此缺陷。(BZ#799879)

* 以前，Augeas 无法解析选项指令中“=”字符周围有空格的 modprobe.conf 文件。modprobe lens 已更新，解析不再失败。(BZ#826752)

建议所有 Augeas 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并且添加了上述增强。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
71000	RHEL 6 : augeas (RHSA-2013:1537)	Nessus	Red Hat Local Security Checks	2013/11/21	2021/1/14	low
79157	CentOS 6 : augeas (CESA-2013:1537)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	low
79157	CentOS 6：augeas（CESA-2013:1537）	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	low
71000	RHEL 6 : augeas（RHSA-2013:1537）	Nessus	Red Hat Local Security Checks	2013/11/21	2021/1/14	low
79157	CentOS 6 : augeas (CESA-2013:1537)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	low
79157	CentOS 6：augeas (CESA-2013:1537)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	low
71000	RHEL 6 : augeas (RHSA-2013:1537)	Nessus	Red Hat Local Security Checks	2013/11/21	2021/1/14	low
71000	RHEL 6：augeas (RHSA-2013:1537)	Nessus	Red Hat Local Security Checks	2013/11/21	2021/1/14	low

检测

插件搜索

low

low

low

low

low

low

low

low