pki-core 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。公钥基础结构 (PKI) 核心包含 Red Hat 证书系统需要的基础程序包。安全修复：* pki-core：AAclAuthz.java 中错误处理 ACL 配置会违反允许和拒绝访问的规则 (CVE-2018-1080) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。此问题由 Fraser Tweedale (Red Hat) 发现。缺陷修复：* 此前，当注册 ECC 密钥后，CMS 上的证书管理 (CMC) 身份验证失败并出现“TokenException：无法将证书插入临时数据库”错误。结果是注册失败。此更新修复了该问题。因此，不再发生上述缺陷。(BZ#1550581) * 此前，证书系统使用相同的注册配置文件颁发 RSA 和 ECC 证书。因此，已颁发证书中的密钥使用扩展不能满足通用标准要求。此更新增加了 ECC 专用的注册配置文件，其中 TLS 服务器的密钥使用扩展与客户端证书有所区分，如 RFC 6960 中所述。此外，本次更新仅更改用于颁发 RSA 证书的现有配置文件。因此，ECC 证书的密钥使用扩展现已满足通用标准要求。(BZ#1554726) * 证书系统服务器拒绝保存无效访问控制列表 (ACL)。因此，当使用空表达式保存 ACL 时，服务器拒绝更新，pkiconsole 实用工具显示 StringIndexOutOfBoundsException 错误。通过此更新，实用工具会拒绝空 ACL 表达式。因此，无法保存无效 ACL，也不会再显示上述错误。(BZ#1557883) * 此前，由于证书系统安装程序存在缺陷，使用 ECC 密钥安装 Key Recovery Authority (KRA) 失败。为修复该问题，安装进程已更新为能够自动处理 RSA 和 ECC 子系统。因此，使用 ECC 密钥安装子系统不会再失败。(BZ#1581134) * 此前，在验证过程中，证书系统在 CMC 证书请求消息格式 (CRMF) 请求下，未能正确编码 ECC 公钥。因此，以 CRMF 使用 CMS 上的证书管理 (CMC) 请求 ECC 证书失败。此问题已修复。因此，使用 ECC 密钥请求 CMC CRMF 能够按预期工作。(BZ#1585945) 增强功能：* pkispawn 手册页已更新，现已用于描述 --skip-configuration 和 --skip-installation 参数。(BZ#1551067) * 通过此更新，证书系统默认会为服务器证书增加主题备用名称 (SAN) 扩展，并将其设置为证书的通用名称 (CN)。(BZ#1581135) * 通过此增强功能，用户在使用 CRMFPopClient 实用工具时，可以创建证书请求消息格式 (CRMF) 请求，而无需密钥存档选项。此功能可增加灵活性，因为不再需要 Key Recovery Authority (KRA) 证书。此前，如果用户不向 CRMFPopClient 传递 '-b transport_certificate_file’ 选项，实用工具会自动使用 transport.txt 文件中储存的 KRA 传输证书。通过此更新，如果未指定 '-b transport_certificate_file'，证书系统可创建请求，而无需使用密钥存档。(BZ#1588945)

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受漏洞影响的 pki-core 程序包：- 10.6.1 版本之前的 Dogtag PKI 在 AAclAuthz.java 中存在漏洞，在某些配置中，造成 ACL 允许和拒绝规则的应用被颠倒。如果服务器配置为在拒绝规则前处理允许规则 (authz.evaluateOrder=allow,deny)，则允许规则将拒绝访问，拒绝规则将授予访问。这可能造成权限升级或产生其他意想不到的后果。(CVE-2018-1080) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2018:1979 公告中提及的漏洞的影响。

    公钥基础结构 (PKI) 核心含有 Red Hat 证书系统所需的基础程序包。

    安全修复：

    * pki-core：未正确处理 AAclAuthz.java 反向规则中的 ACL 配置，允许并拒绝访问 (CVE-2018-1080)

    有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    此问题由 Fraser Tweedale (Red Hat) 发现。

    错误修复：

    * 此前，注册 ECC 密钥后，CMS 上的证书管理 (CMC) 身份验证失败并出现 TokenException： 无法将证书插入临时数据库错误。结果，注册失败。此更新修复了该问题。因此，不再发生上述缺陷。
    (BZ#1550581)

    * 此前，证书系统使用相同的注册配置文件颁发 RSA 和 ECC 证书。
    因此，已颁发证书中的密钥使用扩展不能满足通用标准要求。此更新增加了 ECC 专用的注册配置文件，其中 TLS 服务器的密钥使用扩展与客户端证书有所区分，如 RFC 6960 中所述。此外，本次更新仅更改用于颁发 RSA 证书的现有配置文件。因此，ECC 证书中的密钥使用扩展现符合 Common Criteria 标准。 (BZ#1554726)

    * 证书系统服务器拒绝保存无效访问控制列表 (ACL)。因此，当使用空表达式保存 ACL 时，服务器拒绝更新，pkiconsole 实用工具显示 StringIndexOutOfBoundsException 错误。通过此更新，实用工具会拒绝空 ACL 表达式。因此，无法保存无效的 ACL，并且不再显示错误。 (BZ#1557883)

    * 此前，由于证书系统安装程序存在缺陷，使用 ECC 密钥安装 Key Recovery Authority (KRA) 失败。为修复该问题，安装进程已更新为能够自动处理 RSA 和 ECC 子系统。因此，使用 ECC 密钥安装子系统不会再失败。 (BZ#1581134)

    * 此前，在验证过程中，证书系统在 CMC 证书请求消息格式 (CRMF) 请求中，未能正确编码 ECC 公钥。因此，在 CRMF 中使用 Certificate Management over CMS (CMC) 请求 ECC 证书失败。此问题已修复，因此使用 ECC 密钥的 CMC CRMF 请求可按预期方式工作。 (BZ#1585945)

    增强功能：

    * pkispawn 手册页已更新，现在描述了 --skip-configuration 和 --skip-installation 参数。 (BZ#1551067)

    * 通过此更新，证书系统默认会为服务器证书增加主题备用名称 (SAN) 扩展，并将其设置为证书的通用名称 (CN)。 (BZ#1581135)

    * 通过此增强功能，在使用 CRMFPopClient 实用工具时，可以创建证书请求消息格式 (CRMF) 请求，而无需密钥存档选项。此功能可增加灵活性，因为不再需要 Key Recovery Authority (KRA) 证书。以前，如果用户没有将 -b transport_certificate_file 选项传递给 CRMFPopClient，该实用工具会自动使用存储在 transport.txt 文件中的 KRA 传输证书。此更新后，如果未指定 -b transport_certificate_file，证书系统会创建请求，且不使用密钥存档。 (BZ#1588945)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

来自 Red Hat 安全公告 2018:1979： pki-core 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 公钥基础结构 (PKI) 核心含有 Red Hat 证书系统所需的基础程序包。 安全补丁： * pki-core：未正确处理 AAclAuthz.java 反向规则中的 ACL 配置，允许并拒绝访问 (CVE-2018-1080) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 此问题由 Fraser Tweedale (Red Hat) 发现。 缺陷补丁： * 此前，当注册 ECC 密钥后，Certificate Management over CMS (CMC) 身份验证失败并出现“TokenException：无法将证书插入临时数据库”错误。结果，注册失败。此更新修复了该问题。因此，不再发生上述缺陷。(BZ#1550581) * 此前，证书系统使用相同的注册配置文件颁发 RSA 和 ECC 证书。因此，已颁发证书中的密钥使用扩展不能满足通用标准要求。此更新增加了 ECC 专用的注册配置文件，其中 TLS 服务器的密钥使用扩展与客户端证书有所区分，如 RFC 6960 中所述。此外，本次更新仅更改用于颁发 RSA 证书的现有配置文件。因此，ECC 证书的密钥使用扩展现已满足通用标准要求。(BZ#1554726) * 证书系统服务器拒绝保存无效访问控制列表 (ACL)。因此，当使用空表达式保存 ACL 时，服务器拒绝更新，pkiconsole 实用工具显示 StringIndexOutOfBoundsException 错误。通过此更新，实用工具会拒绝空 ACL 表达式。因此，无法保存无效 ACL，也不会再显示上述错误。(BZ#1557883) * 此前，由于证书系统安装程序存在缺陷，使用 ECC 密钥安装 Key Recovery Authority (KRA) 失败。为修复该问题，安装进程已更新为能够自动处理 RSA 和 ECC 子系统。因此，使用 ECC 密钥安装子系统不会再失败。(BZ#1581134) * 此前，在验证过程中，证书系统在 CMC 证书请求消息格式 (CRMF) 请求中，未能正确编码 ECC 公钥。因此，在 CRMF 中使用 Certificate Management over CMS (CMC) 请求 ECC 证书失败。此问题已修复。因此，使用 ECC 密钥请求 CMC CRMF 能够按预期工作。(BZ#1585945) 增强功能： * pkispawn 手册页已更新，现在描述了 --skip-configuration 和 --skip-installation 参数。(BZ#1551067) * 通过此更新，证书系统默认会为服务器证书增加主题备用名称 (SAN) 扩展，并将其设置为证书的通用名称 (CN)。(BZ#1581135) * 通过此增强功能，在使用 CRMFPopClient 实用工具时，可以创建证书请求消息格式 (CRMF) 请求，而无需密钥存档选项。此功能可增加灵活性，因为不再需要 Key Recovery Authority (KRA) 证书。 此前，如果用户不向 CRMFPopClient 传递 '-b transport_certificate_file’ 选项，实用工具会自动使用 transport.txt 文件中储存的 KRA 传输证书。通过此更新，如果未指定 '-b transport_certificate_file'，证书系统可创建请求，而无需使用密钥存档。(BZ#1588945)

安全修复：- pki-core：AAclAuthz.java 中错误处理 ACL 配置会违反允许和拒绝访问的规则 (CVE-2018-1080) 缺陷修复：- 此前，当注册 ECC 密钥后，CMS 上的证书管理 (CMC) 身份验证失败并出现“TokenException：无法将证书插入临时数据库”错误。结果是注册失败。此更新修复了该问题。因此，不再发生上述缺陷。- 此前，证书系统使用相同的注册配置文件颁发 RSA 和 ECC 证书。因此，已颁发证书中的密钥使用扩展不能满足通用标准要求。此更新增加了 ECC 专用的注册配置文件，其中 TLS 服务器的密钥使用扩展与客户端证书有所区分，如 RFC 6960 中所述。此外，本次更新仅更改用于颁发 RSA 证书的现有配置文件。因此，ECC 证书的密钥使用扩展现已满足通用标准要求。- 证书系统服务器拒绝保存无效访问控制列表 (ACL)。因此，当使用空表达式保存 ACL 时，服务器拒绝更新，pkiconsole 实用工具显示 StringIndexOutOfBoundsException 错误。通过此更新，实用工具会拒绝空 ACL 表达式。因此，无法保存无效 ACL，也不会再显示上述错误。- 此前，由于证书系统安装程序存在缺陷，使用 ECC 密钥安装 Key Recovery Authority (KRA) 失败。为修复该问题，安装进程已更新为能够自动处理 RSA 和 ECC 子系统。因此，使用 ECC 密钥安装子系统不会再失败。- 此前，在验证过程中，证书系统在 CMC 证书请求消息格式 (CRMF) 请求下，未能正确编码 ECC 公钥。因此，以 CRMF 使用 CMS 上的证书管理 (CMC) 请求 ECC 证书失败。此问题已修复。因此，使用 ECC 密钥请求 CMC CRMF 能够按预期工作。增强功能：- pkispawn 手册页已更新，现已用于描述 --skip-configuration 和 --skip-installation 参数。- 通过此更新，证书系统默认会为服务器证书增加主题备用名称 (SAN) 扩展，并将其设置为证书的通用名称 (CN)。- 通过此增强功能，用户在使用 CRMFPopClient 实用工具时，可以创建证书请求消息格式 (CRMF) 请求，而无需密钥存档选项。此功能可增加灵活性，因为不再需要 Key Recovery Authority (KRA) 证书。此前，如果用户不向 CRMFPopClient 传递 '-b transport_certificate_file’ 选项，实用工具会自动使用 transport.txt 文件中储存的 KRA 传输证书。通过此更新，如果未指定 '-b transport_certificate_file'，证书系统可创建请求，而无需使用密钥存档。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Dogtag PKI 版本 10.6.1之前的版本在 AAclAuthz.java 中存在一个漏洞，此漏洞在某些配置下，会造成 ACL 允许和拒绝规则的应用被反转。如果服务器配置为在拒绝规则前处理允许规则 (authz.evaluateOrder=allow,deny)，则允许规则将拒绝访问，拒绝规则将授予访问。这可导致权限提升或产生其他意想不到的后果。 (CVE-2018-1080)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
110906	CentOS 7：pki-core (CESA-2018:1979)	Nessus	CentOS Local Security Checks	2018/7/5	2025/3/27	high
127259	NewStart CGSL CORE 5.04 / MAIN 5.04：pki-core 漏洞 (NS-SA-2019-0063)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2025/2/25	high
110710	RHEL 7：pki-core (RHSA-2018:1979)	Nessus	Red Hat Local Security Checks	2018/6/27	2025/4/15	high
110750	Oracle Linux 7 : pki-core (ELSA-2018-1979)	Nessus	Oracle Linux Local Security Checks	2018/6/28	2025/3/27	high
110719	Scientific Linux 安全更新：SL7.x x86_64 中的 pki-core	Nessus	Scientific Linux Local Security Checks	2018/6/27	2025/3/27	high
221719	Linux Distros 未修补的漏洞: CVE-2018-1080	Nessus	Misc.	2025/3/4	2025/8/27	high

检测

插件搜索

high

high

high

high

high

high