A flaw was found in ricci during a code audit. A remote attacker who is able to connect to ricci could cause ricci to temporarily refuse additional connections, a denial of service (CVE-2007-4136).

Fixes in this updated package include :

  - The nodename is now set for manual fencing.

  - The node log no longer displays in random order.

  - A bug that prevented a node from responding when a     cluster was deleted is now fixed.

  - A PAM configuration that incorrectly called the     deprecated module pam_stack was removed.

  - A bug that prevented some quorum disk configurations     from being accepted is now fixed.

  - Setting multicast addresses now works properly.

  - rpm -V on luci no longer fails.

  - The user interface rendering time for storage interface     is now faster.

  - An error message that incorrectly appeared when     rebooting nodes during cluster creation was removed.

  - Cluster snaps configuration (an unsupported feature) has     been removed altogether to prevent user confusion.

  - A user permission bug resulting from a luci code error     is now fixed.

  - luci and ricci init script return codes are now     LSB-compliant.

  - VG creation on cluster nodes now defaults to     'clustered'.

  - An SELinux AVC bug that prevented users from setting up     shared storage on nodes is now fixed.

  - An access error that occurred when attempting to access     a cluster node after its cluster was deleted is now     fixed.

  - IP addresses can now be used to create clusters.

  - Attempting to configure a fence device no longer results     in an AttributeError.

  - Attempting to create a new fence device to a valid     cluster no longer results in a KeyError.

  - Several minor user interface validation errors have been     fixed, such as enforcing cluster name length and fence     port, etc.

  - A browser lock-up that could occur during storage     configuration has been fixed.

  - Virtual service creation now works without error.

  - The fence_xvm tag is no longer misspelled in the     cluster.conf file.

  - Luci failover forms are complete and working.

  - Rebooting a fresh cluster install no longer generates an     error message.

  - A bug that prevented failed cluster services from being     started is now fixed.

  - A bug that caused some cluster operations (e.g., node     delete) to fail on clusters with mixed-cased cluster     names is now fixed.

  - Global cluster resources can be reused when constructing     cluster services.

Enhancements in this updated package include :

  - Users can now access Conga through Internet Explorer 6.

  - Dead nodes can now be evicted from a cluster.

  - Shared storage on new clusters is now enabled by     default.

  - The fence user-interface flow is now simpler.

  - A port number is now shown in ricci error messages.

  - The kmod-gfs-xen kernel module is now installed when     creating a cluster.

  - Cluster creation status is now shown visually.

  - User names are now sorted for display.

  - The fence_xvmd tag can now be added from the dom0     cluster nodes.

  - The ampersand character (&amp;) can now be used in fence     names.

  - All packaged files are now installed with proper owners     and permissions.

  - New cluster node members are now properly initialized.

  - Storage operations can now be completed even if an LVM     snapshot is present.

  - Users are now informed via dialog when nodes are     rebooted as part of a cluster operation.

  - Failover domains are now properly listed for virtual     services and traditional clustered services.

  - Luci can now create and distribute keys for fence_xvmd.

The remote Redhat Enterprise Linux 5 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2007:0640 advisory.

    The Conga package is a web-based administration tool for remote cluster and     storage management.

    A flaw was found in ricci during a code audit.  A remote attacker who is     able to connect to ricci could cause ricci to temporarily refuse additional     connections, a denial of service (CVE-2007-4136).

    Fixes in this updated package include:

    * The nodename is now set for manual fencing.

    * The node log no longer displays in random order.

    * A bug that prevented a node from responding when a cluster was deleted is     now fixed.

    * A PAM configuration that incorrectly called the deprecated module     pam_stack was removed.

    * A bug that prevented some quorum disk configurations from being accepted     is now fixed.

    * Setting multicast addresses now works properly.

    * rpm -V on luci no longer fails.

    * The user interface rendering time for storage interface is now faster.

    * An error message that incorrectly appeared when rebooting nodes during     cluster creation was removed.

    * Cluster snaps configuration (an unsupported feature) has been removed     altogether to prevent user confusion.

    * A user permission bug resulting from a luci code error is now fixed.

    * luci and ricci init script return codes are now LSB-compliant.

    * VG creation on cluster nodes now defaults to clustered.

    * An SELinux AVC bug that prevented users from setting up shared storage on     nodes is now fixed.

    * An access error that occurred when attempting to access a cluster node     after its cluster was deleted is now fixed.

    * IP addresses can now be used to create clusters.

    * Attempting to configure a fence device no longer results in an     AttributeError.

    * Attempting to create a new fence device to a valid cluster no longer     results in a KeyError.

    * Several minor user interface validation errors have been fixed, such as     enforcing cluster name length and fence port, etc.

    * A browser lock-up that could occur during storage configuration has been     fixed.

    * Virtual service creation now works without error.

    * The fence_xvm tag is no longer misspelled in the cluster.conf file.

    * Luci failover forms are complete and working.
    * Rebooting a fresh cluster install no longer generates an error message.

    * A bug that prevented failed cluster services from being started is now     fixed.

    * A bug that caused some cluster operations (e.g., node delete) to fail on     clusters with mixed-cased cluster names is now fixed.

    * Global cluster resources can be reused when constructing cluster     services.

    Enhancements in this updated package include:

    * Users can now access Conga through Internet Explorer 6.

    * Dead nodes can now be evicted from a cluster.

    * Shared storage on new clusters is now enabled by default.

    * The fence user-interface flow is now simpler.

    * A port number is now shown in ricci error messages.

    * The kmod-gfs-xen kernel module is now installed when creating a cluster.

    * Cluster creation status is now shown visually.

    * User names are now sorted for display.

    * The fence_xvmd tag can now be added from the dom0 cluster nodes.

    * The ampersand character (&) can now be used in fence names.

    * All packaged files are now installed with proper owners and permissions.

    * New cluster node members are now properly initialized.

    * Storage operations can now be completed even if an LVM snapshot is present.

    * Users are now informed via dialog when nodes are rebooted as part of a     cluster operation.

    * Failover domains are now properly listed for virtual services and     traditional clustered services.

    * Luci can now create and distribute keys for fence_xvmd.

    All Conga users are advised to upgrade to this update, which applies these     fixes and enhancements.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Oracle Linux 5 host has packages installed that are affected by a vulnerability as referenced in the ELSA-2007-0640 advisory.

    [0.10.0-6.el5.0.1]
    - Replaced Redhat copyrighted and trademarked images in the conga-0.10.0 tarball.

    [0.10.0-6]

    - Fixed bz253783
    - Fixed bz253914 (conga doesn't allow you to reuse nfs export and nfs client resources)
    - Fixed bz254038 (Impossible to set many valid quorum disk configurations via conga)
    - Fixed bz253994 (Cannot specify multicast address for a cluster)
    - Resolves: bz253783, bz253914, bz254038, bz253994

    [0.10.0-5]

    - Fixed bz249291 (delete node task fails to do all items listed in the help document)
    - Fixed bz253341 (failure to start cluster service which had been modifed for correction)
    - Related: bz253341
    - Resolves: bz249291

    [0.10.0-4]

    - Fixed bz230451 (fence_xvm.key file is not automatically created. Should have a least a default)
    - Fixed bz249097 (allow a space as a valid password char)
    - Fixed bz250834 (ZeroDivisionError when attempting to click an empty lvm volume group)
    - Fixed bz250443 (storage name warning utility produces a storm of warnings which can lock your browser)
    - Resolves: bz249097, bz250443, bz250834
    - Related: bz230451

    [0.10.0-3]

    - Fixed bz245947 (luci/Conga cluster configuration tool not initializing cluster node members)
    - Fixed bz249641 (conga is unable to do storage operations if there is an lvm snapshot present)
    - Fixed bz249342 (unknown ricci error when adding new node to cluster)
    - Fixed bz249291 (delete node task fails to do all items listed in the help document)
    - Fixed bz249091 (RFE: tell user they are about to kill all their nodes)
    - Fixed bz249066 (AttributeError when attempting to configure a fence device)
    - Fixed bz249086 (Unable to add a new fence device to cluster)
    - Fixed bz249868 (Use of failover domain not correctly shown)
    - Resolves bz245947, bz249641, bz249342, bz249291, bz249091,
    - Resolves bz249066, bz249086, bz249868
    - Related: bz249351

    [0.10.0-2]

    - Fixed bz245202 (Conga needs to support Internet Explorer 6.0 and later)
    - Fixed bz248317 (luci sets incorrect permissions on /usr/lib64/luci and /var/lib/luci)
    - Resolves: bz245202 bz248317

    [0.10.0-1]
    - Fixed bz238655 (conga does not set the 'nodename' attribute for manual fencing)
    - Fixed bz221899 (Node log displayed in partially random order)
    - Fixed bz225782 (Need more luci service information on startup - no info written to log about failed     start cause)
    - Fixed bz227743 (Intermittent/recurring problem - when cluster is deleted, sometimes a node is not     affected)
    - Fixed bz227682 (saslauthd[2274]: Deprecated pam_stack module called from service 'ricci')
    - Fixed bz238726 (Conga provides no way to remove a dead node from a cluster)
    - Fixed bz239389 (conga cluster: make 'enable shared storage' the default)
    - Fixed bz239596
    - Fixed bz240034 (rpm verify fails on luci)
    - Fixed bz240361 (Conga storage UI front-end is too slow rendering storage)
    - Fixed bz241415 (Installation using Conga shows 'error' in message during reboot cycle.)
    - Fixed bz241418 (Conga tries to configurage cluster snaps, though they are not available.)
    - Fixed bz241706 (Eliminate confusion in add fence flow)
    - Fixed bz241727 (can't set user permissions in luci)
    - Fixed bz242668 (luci init script can return non-LSB-compliant return codes)
    - Fixed bz243701 (ricci init script can exit with non-LSB-compliant return codes)
    - Fixed bz244146 (Add port number to message when ricci is not started/firewalled on cluster nodes.)
    - Fixed bz244878 (Successful login results in an infinite redirection loop with MSIE)
    - Fixed bz239388 (conga storage: default VG creation should be clustered if a cluster node)
    - Fixed bz239327 (Online User Manual needs modification)
    - Fixed bz227852 (Lack of debugging information in logs - support issue)
    - Fixed bz245025 (Conga does not accept '&' character in password field for Fence configuration)
    - Fixed bz225588 (luci web app does not enforce selection of fence port)
    - Fixed bz212022 (cannot create cluster using ip addresses)
    - Fixed bz223162 (Error trying to create a new fence device for a cluster node)
    - Upgraded to the latest Plone (2.5.3)
    - Added a 'reprobe storage' button that invalidates cached storage reports       and forces a new probe.
    - Resolves: bz238655, bz221899, bz225782, bz227682, bz227743, bz239389,
    - Resolves: bz239596, bz240034, bz240361, bz241415, bz241418, bz241706,
    - Resolves: bz241727, bz242668, bz243701, bz244146, bz244878, bz238726,
    - Resolves: bz239388, bz239327, bz227852, bz245025, bz225588, bz212022

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの Oracle Linux 5 ホストに、ELSA-2007-0640 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - リモートの攻撃者が Red Hat Conga 0.10.0 の ricci デーモンを使用して、データを繰り返し送信したり接続を試みたりし、サービス拒否 (新しい接続が失われる) を引き起こす可能性があります。(CVE-2007-4136)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2007:0640 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Conga パッケージは、リモートクラスターとストレージ管理向けの Web ベース管理ツールです。

    コードの監査中に ricci に欠陥が見つかりました。ricci に接続できるリモートの攻撃者が、ricci に一時的に追加の接続を拒否させ、サービス拒否を発生させる可能性があります（CVE-2007-4136）。

    この更新されたパッケージには次の修正が含まれています。

    * 手動フェンシングに対してノード名が設定されました。

    * ノードログがランダムの順序で表示されなくなりました。

    * クラスターが削除されたときにノードの応答を妨げるバグが修正されました。

    * 廃止されたモジュールである pam_stack を不適切に呼び出していた PAM 構成が削除されました。

    * 一部の quorum ディスク構成の受け入れが妨げられるバグが修正されました。

    * マルチキャストアドレスの設定が適切に機能するようになりました。

    * luci の rpm -V が失敗しなくなりました。

    * ストレージインターフェースに対するユーザーインターフェースのレンダリング時間がより高速になりました。

    * クラスター作成中にノードを再起動したときに不適切に表示されるエラーメッセージが削除されました。

    * ユーザーの混乱を防ぐために、クラスタースナップ構成（未サポート機能）がまとめて削除されました。

    * luci コードのエラーに起因するユーザー権限のバグが修正されました。

    * luci および ricci init スクリプトのリターンコードが LSB 準拠になりました。

    * クラスターノード上の VG 作成が、デフォルトで「clustered」になりました。

    * ユーザーがノード上で共有ストレージをセットアップすることを妨げる SELinux AVC のバグが修正されました。

    * クラスターが削除された後のクラスターノードにアクセスを試みたときに発生するアクセスエラーが修正されました。

    * IP アドレスを使ってクラスターを作成できるようになりました。

    * フェンスデバイスの構成を試みたときに AttributeError が発生しなくなりました。

    * 有効なクラスターに対して新しいフェンスデバイスの作成を試みたときに KeyError が発生しなくなりました。

    * クラスター名の長さの強制やフェンスポートなど、いくつかの軽微なユーザーインターフェースの検証エラーが修正されました。

    * ストレージの構成中に発生する可能性があるブラウザのロックアップが修正されました。

    * 仮想サービスの作成が、エラーなしで機能するようになりました。

    * fence_xvm タグの cluster.conf ファイルのミススペルがなくなりました。

    * Luci フェイルオーバーフォームが完成し、機能しています。
    * 新しいクラスターインストールの再起動で、エラーメッセージが生成されなくなりました。

    * 失敗したクラスターサービスの起動が妨げられるバグが修正されました。

    * 一部のクラスターオペレーション（例：ノード削除）が、大文字と小文字が混在したクラスター名を持つクラスター上で失敗するバグが修正されました。

    * クラスターサービスの構築時に、グローバルクラスターリソースを再利用できます。

    この更新されたパッケージには次の強化が含まれています。

    * ユーザーが Internet Explorer 6 から Conga にアクセスできるようになりました。

    * デッドノードをクラスターから退去できるようになりました。

    * デフォルトで新しいクラスターの共有ストレージが有効になりました。

    * フェンスユーザーインターフェースのフローがよりシンプルになりました。

    * ricci エラーメッセージにポート番号が表示されるようになりました。

    * クラスターの作成時に kmod-gfs-xen カーネルモジュールがインストールされるようになりました。

    * クラスター作成ステータスが視覚的に表示されるようになりました。

    * ユーザー名の表示がソートされるようになりました。

    * fence_xvmd タグを dom0 クラスターノードから追加できるようになりました。

    * アンパサンドの文字（&）をフェンス名で使用できるようになりました。

    * すべてのパッケージ化ファイルが、適切な所有者と権限でインストールされるようになりました。

    * 新しいクラスターノードメンバーが適切に初期化されるようになりました。

    * LVM スナップショットが存在する場合でも、ストレージオペレーションを完了できるようになりました。

    * クラスターオペレーションの一部としてノードが再起動されたときに、ユーザーがダイアログで通知されるようになりました。

    * 仮想サービスおよび従来のクラスター化サービスに対して、フェイルオーバードメインが適切に一覧化されるようになりました。

    * Luci が fence_xvmd に対して鍵を作成および配布できるようになりました。

    Conga の全ユーザーは、この更新へアップグレードし、これらの修正および拡張機能を適用することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Oracle Linux 5 主机上安装的多个程序包受到 ELSA-2007-0640 公告中提及的一个漏洞影响。

  - Red Hat Conga 0.10.0 中的 ricci 后台程序允许远程攻击者通过反复发送数据或尝试连接，造成拒绝服务（新连接丢失）。(CVE-2007-4136)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2007:0640 公告中提及的弱點影響。

    Conga 套件是用於遠端叢集與儲存管理的 web 式管理工具。

    在程式碼稽核期間於 ricci 中發現一個瑕疵。能夠連線至 ricci 的遠端攻擊者可導致 ricci 暫時拒絕其他連線，而造成拒絕服務 (CVE-2007-4136)。

    此更新版套件中的修正包括：

    * 現已設定 nodename 以進行手動隔離。

    * 節點記錄不再以隨機順序顯示。

    * 現已修正叢集遭刪除時會阻止節點回應的錯誤。

    * 已移除會錯誤呼叫過時模組 pam_stack 的 PAM 組態。

    * 現已修正會阻止系統接受某些 quorum 磁碟組態的錯誤。

    * 設定多點傳送位址現可正確運作。

    * luci 上的 rpm -V 不會再失敗。

    * 儲存介面的使用者介面轉譯時間現在已加快。

    * 已移除叢集建立期間在節點重新開機時出現的錯誤訊息。

    * 已一併移除叢集 snaps 組態 (不支援的功能) 以防止使用者混淆。

    * 現已修正 luci 程式碼錯誤所導致的使用者權限錯誤。

    * luci 和 ricci init 指令碼傳回碼現與 LSB 相容。

    * 叢集上的 VG 建立作業現在預設為 clustered。

    * 現已修正會阻止使用者在節點上設定共用儲存區的 SELinux AVC 錯誤。

    * 現已修正叢集節點的叢集遭刪除後，嘗試存取該叢集節點時發生的存取錯誤。

    * 現可使用 IP 位址來建立叢集。

    * 嘗試設定隔離裝置不會再導致 AttributeError。

    * 嘗試建立新的隔離裝置至有效叢集不會再導致 KeyError。

    * 已修正數個次要使用者介面驗證錯誤，例如強制執行叢集名稱長度和隔離連接埠等。

    * 已修正一個可能在儲存組態期間發生的瀏覽器鎖定情形。

    * 虛擬服務建立作業現可正常運作，不會發生錯誤。

    * cluster.conf 檔案中的 fence_xvm 標籤不會再有拼字錯誤。

    * Luci 容錯移轉表單完整且可正常運作。
    * 重新開機全新的叢集安裝時不會再產生錯誤訊息。

    * 現已修正會阻止失敗的叢集服務啟動的錯誤。

    * 現已修正一個錯誤，其會造成部分叢集作業 (如節點刪除) 在叢集名稱混合大小寫的叢集上失敗。

    * 建構叢集服務時可重複使用全域叢集資源。

    此更新版套件中的增強功能包括：

    * 使用者現可透過 Internet Explorer 6 存取 Conga。

    * 失效的節點現可從叢集收回。

    * 新叢集上的共用儲存區現在預設為啟用。

    * 現已簡化隔離使用者介面流程。

    * 現在會在 ricci 錯誤訊息中顯示連接埠號碼。

    * 現在會在建立叢集時安裝 kmod-gfs-xen 核心模組。

    * 現在會以視覺效果顯示叢集建立狀態。

    * 現在會排序使用者名稱並加以顯示。

    * 現在可從 dom0 叢集節點新增 fence_xvmd 標籤。

    * 現可在隔離名稱中使用 & 符號字元。

    * 所有封裝的檔案現在皆會以適當擁有者和權限進行安裝。

    * 現在會對新叢集節點成員適當進行初始化。

    * 現在即使 LVM 快照存在，仍可完成儲存作業。

    * 如果將節點作為叢集作業的一部分重新開機，現在會透過對話方塊通知使用者。

    * 現在會針對虛擬服務和傳統叢集服務正確列出容錯移轉網域。

    * Luci 現可為 fence_xvmd 建立和發佈金鑰。

    建議所有 Conga 使用者皆升級至此更新，其可套用這些修正及增強功能。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

コードの監査中に ricci に欠陥が見つかりました。ricci に接続できるリモートの攻撃者が、ricci に一時的に追加の接続を拒否させ、サービス拒否を発生させる可能性があります（CVE-2007-4136）。

この更新されたパッケージには次の修正が含まれています。

- 手動フェンシングに対してノード名が設定されました。

- ノードログがランダムの順序で表示されなくなりました。

- クラスターが削除されたときにノードの応答を妨げるバグが修正されました。

- 廃止されたモジュールである pam_stack を不適切に呼び出していた PAM 構成が削除されました。

- 一部の quorum ディスク構成の受け入れが妨げられるバグが修正されました。

- マルチキャストアドレスの設定が適切に機能するようになりました。

- luci の rpm -V が失敗しなくなりました。

- ストレージインターフェイスに対するユーザーインターフェイスのレンダリング時間がより高速になりました。

- クラスター作成中にノードを再起動したときに不適切に表示されるエラーメッセージが削除されました。

- ユーザーの混乱を防ぐために、クラスタースナップ構成（未サポート機能）がまとめて削除されました。

- luci コードのエラーに起因するユーザー権限のバグが修正されました。

- luci および ricci init スクリプトのリターンコードが LSB 互換になりました。

- クラスターノード上の VG 作成が、デフォルトで「clustered」になりました。

- ユーザーがノード上で共有ストレージをセットアップすることを妨げる SELinux AVC のバグが修正されました。

- クラスターが削除された後のクラスターノードにアクセスを試みたときに発生するアクセスエラーが修正されました。

- IP アドレスを使ってクラスターを作成できるようになりました。

- フェンスデバイスの構成を試みたときに AttributeError が発生しなくなりました。

- 有効なクラスターに対して新しいフェンスデバイスの作成を試みたときに KeyError が発生しなくなりました。

- クラスター名の長さの強制やフェンスポートなど、いくつかのマイナーなユーザーインターフェイスの検証エラーが修正されました。

- ストレージの構成中に発生する可能性があるブラウザのロックアップが修正されました。

- 仮想サービスの作成が、エラーなしで機能するようになりました。

- fence_xvm タグの cluster.conf ファイルのミススペルがなくなりました。

- Luci フェイルオーバーフォームが完成し、機能しています。

- 新しいクラスターインストールの再起動で、エラーメッセージが生成されなくなりました。

- 失敗したクラスターサービスの起動が妨げられるバグが修正されました。

- 一部のクラスターオペレーション（例：ノード削除）が、大文字と小文字が混在したクラスター名を持つクラスター上で失敗するバグが修正されました。

- クラスターサービスの構築時に、グローバルクラスターリソースを再利用できます。

この更新されたパッケージには次の強化が含まれています。

- ユーザーが Internet Explorer 6 から Conga にアクセスできるようになりました。

- デッドノードをクラスターから退去できるようになりました。

- デフォルトで新しいクラスターの共有ストレージが有効になりました。

- フェンスのユーザーインターフェイスのフローがよりシンプルになりました。

- ricci エラーメッセージにポート番号が表示されるようになりました。

- クラスターの作成時に kmod-gfs-xen カーネルモジュールがインストールされるようになりました。

- クラスター作成ステータスが視覚的に表示されるようになりました。

- ユーザー名の表示がソートされるようになりました。

- fence_xvmd タグを dom0 クラスターノードから追加できるようになりました。

- アンパサンドの文字（&）をフェンス名で使用できるようになりました。

- すべてのパッケージ化ファイルが、適切な所有者と権限でインストールされるようになりました。

- 新しいクラスターノードメンバーが適切に初期化されるようになりました。

- LVM スナップショットが存在する場合でも、ストレージオペレーションを完了できるようになりました。

- クラスターオペレーションの一部としてノードが再起動されたときに、ユーザーがダイアログで知らされるようになりました。

- 仮想サービスおよび従来のクラスター化サービスに対して、フェイルオーバードメインが適切に一覧化されるようになりました。

- Luci が fence_xvmd に対して鍵を作成および配布できるようになりました。

在代码审计期间发现 ricci 中存在缺陷。能够连接到 ricci 的远程攻击者可导致 ricci 临时拒绝其他连接，造成拒绝服务 (CVE-2007-4136)。

此更新后的程序包中的补丁包括：

- 现在会为手动隔离设置节点名。

- 节点日志不再以随机顺序显示。

- 修复了删除群集时阻止节点响应的缺陷。

- 删除了错误地调用已弃用的 pam_stack 模块的 PAM 配置。

- 修复了阻止接受某些 quorum 磁盘配置的缺陷。

- 现在可以正常设置多播地址。

- luci 上的 rpm -V 不再失败。

- 存储界面的用户界面呈现时间现在更短。

- 删除了群集创建期间重新启动节点时错误地显示的错误消息。

- 完全删除了群集快照配置（不受支持的功能）以防止用户混淆。

- 修复了因 luci 代码错误而产生的用户权限缺陷。

- luci 和 ricci init 脚本返回代码现在符合 LSB。

- 群集节点上的 VG 创建现在默认为“群集化”。

- 修复了阻止用户在节点上设置共享存储的 SELinux AVC 缺陷。

- 修复了删除群集节点的群集之后尝试访问该节点时发生的访问错误。

- IP 地址现在可用于创建群集。

- 尝试配置屏蔽设备不再导致 AttributeError。

- 尝试向有效群集创建新的屏蔽设备不再导致 KeyError。

- 修复了多个次要的用户界面验证错误，例如强制群集名称长度和屏蔽端口等。

- 修复了存储配置期间可发生的浏览器锁定。

- 虚拟服务创建现在正常工作，不发生错误。

- cluster.conf 文件中不再错误地拼写 fence_xvm 标签。

- Luci 故障转移表单完整且正常工作。

- 重新启动新安装的群集不再生成错误消息。

- 修复了阻止启动发生故障的群集服务的缺陷。

- 修复了导致某些群集操作（例如节点删除）在具有大小写混合群集名称的群集上失败的缺陷。

- 构造群集服务时可重用全局群集资源。

此更新后的程序包中的增强包括：

- 用户现在可通过 Internet Explorer 6 访问 Conga。

- 现在可从群集中驱逐死节点。

- 现在默认启用新群集上的共享存储。

- 屏蔽用户界面流程现在更简单。

- ricci 错误消息中现在显示端口号。

- 现在创建群集时会安装 kmod-gfs-xen kernel 模块。

- 现在以可视方式显示群集创建状态。

- 现在会对用于显示的用户名进行排序。

- 现在可从 dom0 群集节点添加 fence_xvmd 标签。

- 屏蔽名称中现在可使用 & 字符。

- 现在会通过正确的所有者和权限来安装所有打包的文件。

- 现在会对新的群集节点成员正确进行初始化。

- 即使存在 LVM 快照，现在也可成功完整存储操作。

- 群集操作过程中重新启动节点时，用户现在会收到通知。

- 现在会正确列出虚拟服务和传统群集化服务的故障转移域。

- Luci 现在可为 fence_xvmd 创建和分发密钥。

遠端 Oracle Linux 5 主機中安裝的套件受到 ELSA-2007-0640 公告中提及的一個弱點影響。

  - Red Hat Conga 0.10.0 中的 ricci 程序允許遠端攻擊者透過重複傳送資料或嘗試連線，造成拒絕服務 (失去新連線)。(CVE-2007-4136)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2007:0640 公告中提及的漏洞影响。

    Conga 程序包是基于 Web 的管理工具，用于远程群集和存储管理。

    在代码审计期间发现 ricci 中存在缺陷。能够连接到 ricci 的远程攻击者可导致 ricci 临时拒绝其他连接，造成拒绝服务 (CVE-2007-4136)。

    此更新后的程序包中的补丁包括：

    * 现在会为手动隔离设置节点名。

    * 节点日志不再以随机顺序显示。

    * 现已修复删除群集时阻止节点响应的缺陷。

    * 删除了错误地调用已弃用 pam_stack 模块的 PAM 配置。

    * 现已修复阻止接受某些 quorum 磁盘配置的缺陷。

    * 现在可以正常设置多播地址。

    * luci 上的 rpm -V 不再失败。

    * 存储界面的用户界面呈现时间现在更短。

    * 删除了群集创建期间重新启动节点时错误地显示的错误消息。

    * 完全删除了群集快照配置（不受支持的功能）以防止用户混淆。

    * 现已修复因 luci 代码错误所致的用户权限缺陷。

    * luci 和 ricci init 脚本返回代码现在符合 LSB。

    * 群集节点上的 VG 创建现在默认为群集化。

    * 现已修复阻止用户在节点上设置共享存储的 SELinux AVC 缺陷。

    * 现已修复删除群集节点的群集之后尝试访问该节点时发生的访问错误。

    * IP 地址现在可用于创建群集。

    * 尝试配置隔离设备不再导致 AttributeError。

    * 尝试向有效群集创建新的隔离设备不再导致 KeyError。

    * 修复了多个次要的用户界面验证错误，例如强制群集名称长度和隔离端口等。

    * 修复了存储配置期间可能发生的浏览器锁定。

    * 虚拟服务创建现在正常工作，没有错误。

    * cluster.conf 文件中不再错误地拼写 fence_xvm 标签。

    * Luci 故障转移表单完整且正常工作。
    * 重新启动新安装的群集不再生成错误消息。

    * 现已修复阻止启动发生故障的群集服务的缺陷。

    * 现已修复导致某些群集操作（例如节点删除）对具有大小写混合名称的群集失败的缺陷。

    * 构造群集服务时可重用全局群集资源。

    此更新后的程序包中的增强包括：

    * 用户现在可通过 Internet Explorer 6 访问 Conga。

    * 现在可从群集中驱逐死节点。

    * 现在默认启用新群集上的共享存储。

    * 隔离用户界面流程现在更简单。

    * ricci 错误消息中现在显示端口号。

    * 在创建群集时，现在会安装 kmod-gfs-xen kernel 模块。

    * 现在以可视方式显示群集创建状态。

    * 现在会出于显示目的来排序用户名。

    * 现在可从 dom0 群集节点添加 fence_xvmd 标签。

    * 隔离名称中现在可使用 & 字符。

    * 现在会通过正确的所有者和权限来安装所有打包的文件。

    * 现在会对新的群集节点成员正确进行初始化。

    * 即使存在 LVM 快照，现在也可以完成存储操作。

    * 当重新启动节点成为群集操作的一部分时，用户现在会收到通知。

    * 现在会正确列出虚拟服务和传统群集化服务的故障转移域。

    * Luci 现在可为 fence_xvmd 创建并分发密钥。

    建议所有 Conga 用户升级此更新，其中应用了这些补丁和增强。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

在程式碼稽核期間於 ricci 中發現一個瑕疵。能夠連線至 ricci 的遠端攻擊者可導致 ricci 暫時拒絕其他連線，而造成拒絕服務 (CVE-2007-4136)。

此更新版套件中的修正包括：

- 現已設定 nodename 以進行手動隔離。

- 節點記錄不再以隨機順序顯示。

- 現已修正叢集遭刪除時會阻止節點回應的錯誤。

- 已移除會錯誤呼叫過時模組 pam_stack 的 PAM 組態。

- 現已修正會阻止系統接受某些 quorum 磁碟組態的錯誤。

- 設定多點傳送位址現可正確運作。

- luci 上的 rpm -V 不會再失敗。

- 儲存介面的使用者介面轉譯時間現在已加快。

- 已移除叢集建立期間在節點重新開機時出現的錯誤訊息。

- 已一併移除叢集 snaps 組態 (不支援的功能) 以防止使用者混淆。

- 現已修正 luci 程式碼錯誤所導致的使用者權限錯誤。

- luci 和 ricci init 指令碼傳回碼現與 LSB 相容。

- 叢集上的 VG 建立作業現在預設為「clustered」。

- 現已修正會阻止使用者在節點上設定共用儲存區的 SELinux AVC 錯誤。

- 現已修正叢集節點的叢集遭刪除後，嘗試存取該叢集節點時發生的存取錯誤。

- 現可使用 IP 位址來建立叢集。

- 嘗試設定隔離裝置不會再導致 AttributeError。

- 嘗試建立新的隔離裝置至有效叢集不會再導致 KeyError。

- 已修正數個次要使用者介面驗證錯誤，例如強制執行叢集名稱長度和隔離連接埠等。

- 已修正一個可能在儲存組態期間發生的瀏覽器鎖定情形。

- 虛擬服務建立作業現可正常運作，不會發生錯誤。

- cluster.conf 檔案中的 fence_xvm 標籤不會再有拼字錯誤。

- Luci 容錯移轉表單完整且可正常運作。

- 重新開機全新的叢集安裝時不會再產生錯誤訊息。

- 現已修正會阻止失敗的叢集服務啟動的錯誤。

- 現已修正一個錯誤，其會造成部分叢集作業 (如節點刪除) 在叢集名稱混合大小寫的叢集上失敗。

- 建構叢集服務時可重複使用全域叢集資源。

此更新版套件中的增強功能包括：

- 使用者現可透過 Internet Explorer 6 存取 Conga。

- 失效的節點現可從叢集收回。

- 新叢集上的共用儲存區現在預設為啟用。

- 現已簡化隔離使用者介面流程。

- 現在會在 ricci 錯誤訊息中顯示連接埠號碼。

- 現在會在建立叢集時安裝 kmod-gfs-xen 核心模組。

- 現在會以視覺效果顯示叢集建立狀態。

- 現在會排序使用者名稱並加以顯示。

- 現在可從 dom0 叢集節點新增 fence_xvmd 標籤。

- 現可在隔離名稱中使用 & 符號字元。

- 所有封裝的檔案現在皆會以適當擁有者和權限進行安裝。

- 現在會對新叢集節點成員適當進行初始化。

- 現在即使 LVM 快照存在，仍可完成儲存作業。

- 如果將節點作為叢集作業的一部分重新開機，現在會透過對話方塊通知使用者。

- 現在會針對虛擬服務和傳統叢集服務正確列出容錯移轉網域。

- Luci 現可為 fence_xvmd 建立和發佈金鑰。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
60284	Scientific Linux Security Update : conga on SL5.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
63842	RHEL 5 : conga (RHSA-2007:0640)	Nessus	Red Hat Local Security Checks	2013/1/24	2025/3/20	high
180618	Oracle Linux 5 : conga (ELSA-2007-0640)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
180618	Oracle Linux 5: conga (ELSA-2007-0640)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
63842	RHEL 5：conga（RHSA-2007:0640）	Nessus	Red Hat Local Security Checks	2013/1/24	2025/3/20	high
180618	Oracle Linux 5：conga (ELSA-2007-0640)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
63842	RHEL 5：conga (RHSA-2007:0640)	Nessus	Red Hat Local Security Checks	2013/1/24	2025/3/20	high
60284	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の conga	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
60284	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 conga	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
180618	Oracle Linux 5：conga (ELSA-2007-0640)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
63842	RHEL 5：conga (RHSA-2007:0640)	Nessus	Red Hat Local Security Checks	2013/1/24	2025/3/20	high
60284	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 conga	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium

检测

插件搜索

medium

high

high

high

high

high

high

medium

medium

high

high

medium