Updated Messaging component packages that fix one security issue, several bugs, and add various enhancements are now available for Red Hat Enterprise MRG 2.5 for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having Moderate security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

Red Hat Enterprise MRG (Messaging, Realtime, and Grid) is a next-generation IT infrastructure for enterprise computing. MRG offers increased performance, reliability, interoperability, and faster computing for enterprise customers.

MRG Messaging is a high-speed reliable messaging distribution for Linux based on AMQP (Advanced Message Queuing Protocol), an open protocol standard for enterprise messaging that is designed to make mission critical messaging widely available as a standard service, and to make enterprise messaging interoperable across platforms, programming languages, and vendors. MRG Messaging includes an AMQP 0-10 messaging broker; AMQP 0-10 client libraries for C++, Java JMS, and Python; as well as persistence libraries and management tools.

It was found that MRG Management Console (cumin) used the crypt(3) DES-based hash function to hash passwords. DES-based hashing has known weaknesses that allow an attacker to more easily recover plain text passwords from hashes via brute-force guessing. An attacker able to compromise a cumin user database could potentially use this flaw to recover plain text passwords from the password hashes stored in that database. (CVE-2013-6445)

Note: In deployments where user account information is stored in a database managed by cumin, it is recommended that users change their passwords after this update is applied.

This issue was discovered by Tomas Novacik of the Red Hat MRG Quality Engineering team.

This update also fixes several bugs and adds enhancements.
Documentation for these changes will be available shortly from the Technical Notes document linked to in the References section.

All users of the Messaging capabilities of Red Hat Enterprise MRG are advised to upgrade to these updated packages, which resolve these issues and add these enhancements. After installing the updated packages, stop the cluster by either running 'service qpidd stop' on all nodes, or 'qpid-cluster --all-stop' on any one of the cluster nodes. Once stopped, restart the cluster with 'service qpidd start' on all nodes for the update to take effect.

1 つのセキュリティ問題といくつかのバグを修正し、さまざまな拡張機能を追加する更新済みの Messaging コンポーネントパッケージが、Red Hat Enterprise Linux 5 用の Red Hat Enterprise MRG 2.5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

MRG Messaging は、AMQP（Advanced Message Queuing Protocol）に基づいた Linux 用の高速かつ信頼できるメッセージングディストリビューションです。このプロトコルは、標準デバイスとして利用できるミッションクリティカルなメッセージングを幅広く行えるようにし、プラットフォーム、プログラミング言語、ベンダーにおいて相互運用可能なエンタープライズメッセージングを実現するためのオープンプロトコル規格です。MRG Messaging には、AMQP 0-10 メッセージングブローカー、C++ 用 AMQP 0-10 クライアントライブラリ、 Java JMS、Python、ならびに永続化ライブラリおよび管理ツールが含まれています。

MRG 管理コンソール（cumin）が crypt(3) DES ベースのハッシュ関数を使用してパスワードのハッシュを行っていたことが判明しました。DES ベースのハッシュは弱いことが知られており、攻撃者がブルートフォース推測を介して、ハッシュから平文パスワードをより簡単に回復する可能性があります。cumin ユーザーデータベースをセキュリティ上で危険にさらすことができる攻撃者が、この欠陥を利用して、そのデータベースに保存されているパスワードハッシュから、平文のパスワードを入手する可能性があります。（CVE-2013-6445）

注：ユーザーのアカウント情報が、cumin によって管理されているデータベースに保存される展開では、ユーザーはこの更新後が適用された後、パスワードを変更することが推奨されています。

この問題は、Red Hat MRG 品質工学チームの Tomáš Nováčik 氏により発見されました。

また、この更新では、いくつかのバグを修正し、拡張機能を追加しています。
これらの変更に関するドキュメントは、「参照」セクションでリンクされているテクニカルノートドキュメントから、間もなく入手できるようになります。

Red Hat Enterprise MRG の Messaging 機能の全ユーザーは、これらの更新済みパッケージにアップグレードして、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。更新済みのパッケージをインストールした後、すべてのノード上で「service qpidd stop」を実行するか、クラスターノードの 1 つで「qpid-cluster --all-stop」を実行してクラスターを停止させます。更新を有効にするには、停止後に、すべてのノード上で「service qpidd start」を実行してクラスターを再起動させます。

Updated Grid component packages that fix two security issues, multiple bugs, and provide several enhancements are now available for Red Hat Enterprise MRG 2.5 for Red Hat Enterprise Linux 6.

The Red Hat Security Response Team has rated this update as having Moderate security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat Enterprise MRG (Messaging, Realtime, and Grid) is a next-generation IT infrastructure for enterprise computing. MRG offers increased performance, reliability, interoperability, and faster computing for enterprise customers.

MRG Grid provides high-throughput computing and enables enterprises to achieve higher peak computing capacity as well as improved infrastructure utilization by leveraging their existing technology to build high performance grids. MRG Grid provides a job-queueing mechanism, scheduling policy, and a priority scheme, as well as resource monitoring and resource management. Users submit their jobs to MRG Grid, where they are placed into a queue. MRG Grid then chooses when and where to run the jobs based upon a policy, carefully monitors their progress, and ultimately informs the user upon completion.

A buffer over-read flaw was found in the way MongoDB handled BSON data. A database user permitted to insert BSON data into a MongoDB server could use this flaw to read server memory, potentially disclosing sensitive data. (CVE-2012-6619)

Note: This update addresses CVE-2012-6619 by enabling the '--objcheck' option in the /etc/mongodb.conf file. If you have edited this file, the updated version will be stored as /etc/mongodb.conf.rpmnew, and you will need to merge the changes into /etc/mongodb.conf manually.

It was found that MRG Management Console (cumin) used the crypt(3) DES-based hash function to hash passwords. DES-based hashing has known weaknesses that allow an attacker to recover plain text passwords from hashes. An attacker able to compromise a cumin user database could potentially use this flaw to recover plain text passwords from the password hashes stored in that database. (CVE-2013-6445)

Note: In deployments where user account information is stored in a database managed by cumin, it is recommended that users change their passwords after this update is applied.

The CVE-2013-6445 issue was discovered by Tomas Novacik of the Red Hat MRG Quality Engineering team.

These updated packages for Red Hat Enterprise Linux 6 also provide numerous bug fixes and enhancements for the Grid component of Red Hat Enterprise MRG. Space precludes documenting all of these changes in this advisory. Refer to the Red Hat Enterprise MRG 2 Technical Notes document, available shortly from the link in the References section, for information on these changes.

All users of the Grid capabilities of Red Hat Enterprise MRG are advised to upgrade to these updated packages, which correct these issues and add these enhancements.

更新后的 Messaging 组件程序包修复了一个安全问题和若干缺陷，并添加了多种增强，现在可用于 Red Hat Enterprise Linux 5 的 Red Hat Enterprise MRG 2.5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise MRG（Messaging、Realtime 和 Grid）是用于企业计算的下一代 IT 基础架构。MRG 为企业客户提供更高的性能、可靠性和互操作性以及更快的计算速度。

MRG Messaging 是基于 AMQP（高级消息队列协议）的针对 Linux 的高速可靠消息分发工具，该工具是一个为企业消息传送设计的开放协议标准，可使关键任务消息传送作为标准服务进行广泛使用，并实现企业消息传送在各类平台、编程语言和供应商之间的互操作性。MRG Messaging 包括一个 AMQP 0-10 消息代理；用于 C++、Java JMS 和 Python 的 AMQP 0-10 客户端库；以及暂留库和管理工具。

已发现 MRG 管理控制台 (cumin) 使用 crypt(3) 基于 DES 的哈希函数对密码执行哈希操作。基于 DES 的哈希处理具有已知的弱点，可允许攻击者通过暴力破解猜测从哈希中更轻松地恢复明文密码。可以危及 cumin 用户数据库的攻击者可能利用此缺陷恢复该数据库中存储的密码哈希内的明文密码。(CVE-2013-6445)

注意：对于将用户帐户信息存储在由 cumin 管理的数据库中的部署，建议用户在应用此更新之后更改自己的密码。

此问题是由 Red Hat MRG 质量工程团队的 Tomáš Nováčik 发现的。

此更新还修复了多个缺陷并添加了增强。
“参考”部分链接的技术札记文档中近期将提供这些更改的文档。

建议所有使用 Red Hat Enterprise MRG 的 Messaging 功能的用户升级这些更新后的程序包，其中解决了这些问题并添加了这些增强。安装更新后的程序包后，请通过在所有节点上运行“service qpidd stop”或在任一群集节点上运行“qpid-cluster --all-stop”停止群集。停止后，在所有节点上使用“service qpidd start”重新启动群集才能使更新生效。

現已提供適用於 Red Hat Enterprise Linux 6 之 Red Hat Enterprise MRG 2.5 的更新版 Grid 元件套件，可修正兩個安全性問題、多個錯誤，並提供數個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise MRG (Messaging、Realtime 與 Grid) 是企業計算方面的新一代 IT 基礎結構。MRG 為企業客戶提供增進的效能、可靠性、互通性與更快的計算能力。

MRG Grid 利用其現有技術提供高傳輸率的計算能力，並可讓企業達成更高的尖峰計算容量，以及改進的基礎結構使用率，進而構建高效能格線。MRG Grid 提供工作佇列機制、排程原則與優先順序配置，另外還提供了資源監控與資源管理能力。使用者可將其工作提交至 MRG Grid，而工作會在此排入佇列。然後 MRG Grid 會選擇在何時及何處根據原則執行工作、謹慎監控其進度，並於工作最終完成時通知使用者。

在 MongoDB 處理 BSON 資料的方式中發現一個緩衝區過度讀取瑕疵。有權將 BSON 資料插入 MongoDB 伺服器的資料庫使用者可利用此瑕疵讀取伺服器記憶體，進而可能洩漏敏感資料。(CVE-2012-6619)

注意：此更新啟用 /etc/mongodb.conf 檔案中的 ‘--objcheck’ 選項，藉此解決 CVE-2012-6619。若您已編輯該檔案，更新版會存為 /etc/mongodb.conf.rpmnew，所以必須將變更手動併入 /etc/mongodb.conf 中。

據發現，MRG 管理主控台 (cumin) 使用 crypt(3) DES 式雜湊函式來雜湊密碼。DES 型雜湊中有已知弱點，會讓攻擊者從雜湊還原純文字密碼。能夠入侵 cumin 使用者資料庫的攻擊者可能利用此瑕疵，從該資料庫中儲存的密碼雜湊復原純文字密碼。(CVE-2013-6445)

注意：在使用者帳戶資訊儲存在 cumin 所管理之資料庫中的部署中，建議使用者在套用此更新之後變更其密碼。

CVE-2013-6445 問題是由 Red Hat MRG Quality Engineering 團隊的 Tomáš Nováčik 所發現。

Red Hat Enterprise Linux 6 的這些更新版套件亦針對 Red Hat Enterprise MRG 的 Grid 元件提供數個錯誤修正與增強功能。因空間所限，無法在此公告中記錄所有這些變更。請參閱 Red Hat Enterprise MRG 2 技術提示文件，您近期將可從〈參照〉一節中的連結取得這些變更的資訊。

建議 Red Hat Enterprise MRG 之 Grid 功能的所有使用者皆升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

更新后的 Grid 组件程序包修复了两个安全问题和若干缺陷，并提供了多种增强功能，现在可用于 Red Hat Enterprise Linux 6 的 Red Hat Enterprise MRG 2.5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise MRG（Messaging、Realtime 和 Grid）是用于企业计算的下一代 IT 基础架构。MRG 为企业客户提供更高的性能、可靠性和互操作性以及更快的计算速度。

MRG 网格提供高吞吐量计算，使企业可通过利用其现有技术构建高性能网格，从而实现更高的峰值计算能力和改进的基础架构使用率。MRG 网格提供作业排队机制、计划策略和优先级方案以及资源监控和资源管理。用户将其作业提交给 MRG 网格，并于此处将作业放入队列中。然后，MRG 网格根据策略选择运行此作业的时间和地点、精心监控作业的进度并在最终完成后通知用户。

在 MongoDB 处理 BSON 数据的方式中发现缓冲区读取越界缺陷。被允许将 BSON 数据插入 MongoDB 服务器的数据库用户可利用此缺陷读取服务器内存，从而可能泄露敏感数据。(CVE-2012-6619)

注意：此更新通过启用 /etc/mongodb.conf 文件中的“--objcheck”选项，解决了 CVE-2012-6619。如果您编辑了此文件，则更新后的版本将存储为 /etc/mongodb.conf.rpmnew，并且您需要手动将更改合并到 /etc/mongodb.conf 中。

已发现 MRG 管理控制台 (cumin) 使用 crypt(3) 基于 DES 的哈希函数对密码执行哈希操作。基于 DES 的哈希具有已知漏洞，允许攻击者从哈希恢复明文密码。可以危及 cumin 用户数据库的攻击者可能利用此缺陷恢复该数据库中存储的密码哈希内的明文密码。(CVE-2013-6445)

注意：对于将用户帐户信息存储在由 cumin 管理的数据库中的部署，建议用户在应用此更新之后更改自己的密码。

CVE-2013-6445 问题由 Red Hat MRG 质量工程团队的 Tomáš Nováčik 发现。

针对 Red Hat Enterprise Linux 6 更新的这些程序包还为 Red Hat Enterprise MRG 的 Grid 组件提供大量缺陷补丁和增强。空间有限，无法在此公告中记载所有这些更改。请参阅很快便可通过“参考”部分中链接的 Red Hat Enterprise MRG 2 技术札记文档了解关于这些更改的信息。

建议 Red Hat Enterprise MRG Grid 功能的所有用户升级到这些更新后的程序包，其中修正了这些问题并添加这些增强。

2 つのセキュリティ問題や複数のバグを修正し、いくつもの拡張機能を提供する、更新済みの Grid コンポーネントパッケージが、Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG 2.5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

MRG Grid は高スロープットなコンピューティングを提供しています。また、企業が、既存のテクノロジーを利用して、より高度なピークコンピューティング力や改善されたインフラストラクチャの利用を実現し、高パフォーマンスグリッドを構築できるようにしています。MRG Grid は、ジョブの待ち行列メカニズム、スケジューリングポリシー、優先度スキーム、リソースの監視、およびリソース管理を提供しています。ユーザーは、MRG Grid にジョブを送信します。すると、ジョブはキューに配置されます。そして、MRG Grid はポリシーに基づいて時と場所を選択し、慎重に進度を監視し、最後には完了時にユーザーに通知を行います。

MongoDB が BSON データを処理する方法で、バッファオーバーリードの欠陥が見つかりました。データベースユーザーに BSON データを MongoDB サーバーに挿入できる許可がある場合、この欠陥を利用して、サーバーメモリを読み取り、機密データを漏洩させる可能性があります。（CVE-2012-6619）

注：この更新は、/etc/mongodb.conf ファイルの中の「--objcheck」オプションを有効にすることで、CVE-2012-6619 に対処します。このファイルを編集している場合は、更新バージョンは、/etc/mongodb.conf.rpmnew として保存され、変更を /etc/mongodb.conf に手動でマージする必要があります。

MRG 管理コンソール（cumin）が crypt(3) DES ベースのハッシュ関数を使用してパスワードのハッシュを行っていたことが判明しました。DES ベースのハッシュは弱いことが知られており、攻撃者がハッシュから平文パスワードを回復する可能性があります。cumin ユーザーデータベースをセキュリティ上で危険にさらすことができる攻撃者が、この欠陥を利用して、そのデータベースに保存されているパスワードハッシュから、平文のパスワードを入手する可能性があります。（CVE-2013-6445）

注：ユーザーのアカウント情報が、cumin によって管理されているデータベースに保存される展開では、ユーザーはこの更新後が適用された後、パスワードを変更することが推奨されています。

CVE-2013-6445 の問題は、Red Hat MRG 品質工学チームの Tomáš Nováčik 氏により発見されました。

Red Hat Enterprise Linux 6 用のこれらの更新済みパッケージでは、Red Hat Enterprise MRG の Grid コンポーネントに対する多くのバグ修正や拡張機能も提供しています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更の情報については、参照セクションのリンクから間もなくアクセスできるようになる、Red Hat Enterprise MRG 2 テクニカルノートドキュメントを参照してください。

Red Hat Enterprise MRG の Grid 機能の全ユーザーは、これらの問題を修正し、これらの機能強化を追加する、これらの更新されたパッケージにアップグレードすることが推奨されます。

現已提供適用於 Red Hat Enterprise Linux 5 之 Red Hat Enterprise MRG 2.5 的更新版 Messaging 元件套件，可修正一個安全性問題、數個錯誤，並新增多種增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise MRG (Messaging、Realtime 與 Grid) 是企業計算方面的新一代 IT 基礎結構。MRG 為企業客戶提供增進的效能、可靠性、互通性與更快的計算能力。

MRG Messaging 是針對 Linux 以 AMQP (進階訊息佇列通訊協定) 為基礎所發佈的高速可靠傳訊，這是企業傳訊的開放式通訊協定標準，可將任務重要的傳訊能力廣泛推廣為標準服務，並使企業傳訊能夠跨平台、程式設計語言及供應商互通。MRG Messaging 包含 AMQP 0-10 傳訊 Broker；適用於 C++、Java JMS 與 Python 的 AMQP 0-10 用戶端程式庫；另外還有持續性程式庫與管理工具。

據發現，MRG 管理主控台 (cumin) 使用 crypt(3) DES 式雜湊函式來雜湊密碼。DES 型雜湊中存有一個已知弱點，其允許攻擊者更容易地透過暴力密碼破解，從雜湊復原純文字密碼。能夠入侵 cumin 使用者資料庫的攻擊者可能利用此瑕疵，從該資料庫中儲存的密碼雜湊復原純文字密碼。(CVE-2013-6445)

注意：在使用者帳戶資訊儲存在 cumin 所管理之資料庫中的部署中，建議使用者在套用此更新之後變更其密碼。

此問題是由 Red Hat MRG Quality Engineering 團隊的 Tomáš Nováčik 所發現。

此更新還修正了數個錯誤，並新增數個增強功能。
這些變更的相關文件近期將可從＜參照＞一節中的「技術提示」文件連結中取得。

建議 Red Hat Enterprise MRG 之 Messaging 功能的所有使用者皆升級至這些更新版套件，其可解決這些問題並新增這些增強功能。安裝更新版套件之後，透過對所有節點執行「service qpidd stop」，或對任何一個叢集節點執行「qpid-cluster --all-stop」，可停止叢集。停止之後，對所有節點以「service qpidd start」重新啟動叢集，更新才會生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
76676	RHEL 5 : MRG (RHSA-2014:0441)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76676	RHEL 5：MRG（RHSA-2014:0441）	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76675	RHEL 6 : MRG (RHSA-2014:0440)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76676	RHEL 5：MRG (RHSA-2014:0441)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76675	RHEL 6：MRG (RHSA-2014:0440)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76675	RHEL 6：MRG (RHSA-2014:0440)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76675	RHEL 6：MRG（RHSA-2014:0440）	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
76676	RHEL 5：MRG (RHSA-2014:0441)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium