The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2012:1508 advisory.

    VDSM is a management module that serves as a Red Hat Enterprise     Virtualization Manager agent on Red Hat Enterprise Virtualization     Hypervisor or Red Hat Enterprise Linux 6.3 hosts.

    A flaw was found in the way Red Hat Enterprise Linux hosts were added to     the Red Hat Enterprise Virtualization environment. The Python scripts     needed to configure the host for Red Hat Enterprise Virtualization were     stored in the /tmp/ directory and could be pre-created by an attacker. A     local, unprivileged user on the host to be added to the Red Hat Enterprise     Virtualization environment could use this flaw to escalate their     privileges. This update provides the VDSM part of the fix. The     RHSA-2012:1506 Red Hat Enterprise Virtualization Manager update must also     be installed to completely fix this issue. (CVE-2012-0860)

    A flaw was found in the way Red Hat Enterprise Linux and Red Hat Enterprise     Virtualization Hypervisor hosts were added to the Red Hat Enterprise     Virtualization environment. The Python scripts needed to configure the host     for Red Hat Enterprise Virtualization were downloaded in an insecure way,     that is, without properly validating SSL certificates during HTTPS     connections. An attacker on the local network could use this flaw to     conduct a man-in-the-middle attack, potentially gaining root access to the     host being added to the Red Hat Enterprise Virtualization environment. This     update provides the VDSM part of the fix. The RHSA-2012:1506 Red Hat     Enterprise Virtualization Manager update must also be installed to     completely fix this issue. (CVE-2012-0861)

    The CVE-2012-0860 and CVE-2012-0861 issues were discovered by Red Hat.

    In addition to resolving the above security issues these updated VDSM     packages fix various bugs, and add various enhancements.

    Documentation for these bug fixes and enhancements is available in the     Technical Notes:

    https://access.redhat.com/knowledge/docs/en-     US/Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/index.html

    All users who require VDSM are advised to install these updated packages     which resolve these security issues, fix these bugs, and add these     enhancements.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Red Hat Enterprise Virtualization Manager 3.1 is now available.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat Enterprise Virtualization Manager is a visual tool for centrally managing collections of virtual servers running Red Hat Enterprise Linux and Microsoft Windows. This package also includes the Red Hat Enterprise Virtualization Manager API, a set of scriptable commands that give administrators the ability to perform queries and operations on Red Hat Enterprise Virtualization Manager.

A flaw was found in the way Red Hat Enterprise Linux hosts were added to the Red Hat Enterprise Virtualization environment. The Python scripts needed to configure the host for Red Hat Enterprise Virtualization were stored in the '/tmp/' directory and could be pre-created by an attacker. A local, unprivileged user on the host to be added to the Red Hat Enterprise Virtualization environment could use this flaw to escalate their privileges. This update provides the Red Hat Enterprise Virtualization Manager part of the fix. The RHSA-2012:1508 VDSM update (Red Hat Enterprise Linux hosts) must also be installed to completely fix this issue. (CVE-2012-0860)

A flaw was found in the way Red Hat Enterprise Linux and Red Hat Enterprise Virtualization Hypervisor hosts were added to the Red Hat Enterprise Virtualization environment. The Python scripts needed to configure the host for Red Hat Enterprise Virtualization were downloaded in an insecure way, that is, without properly validating SSL certificates during HTTPS connections. An attacker on the local network could use this flaw to conduct a man-in-the-middle attack, potentially gaining root access to the host being added to the Red Hat Enterprise Virtualization environment. This update provides the Red Hat Enterprise Virtualization Manager part of the fix. The RHSA-2012:1508 VDSM update (Red Hat Enterprise Linux hosts) or RHSA-2012:1505 rhev-hypervisor6 update (Red Hat Enterprise Virtualization Hypervisor hosts) must also be installed to completely fix this issue. (CVE-2012-0861)

It was found that under certain conditions, Red Hat Enterprise Virtualization Manager would fail to lock the screen on a virtual machine between SPICE (Simple Protocol for Independent Computing Environments) sessions. A user with access to a virtual machine in Red Hat Enterprise Virtualization Manager could potentially exploit this flaw to gain access to another user's unlocked desktop session.
(CVE-2011-4316)

It was found that Red Hat Enterprise Virtualization Manager did not correctly pass wipe-after-delete when moving disks between storage domains. This resulted in such disks not being securely deleted as expected, potentially leading to information disclosure.
(CVE-2012-5516)

A flaw was found in the way the Red Hat Enterprise Virtualization Manager back end checked the privileges of users making requests via the SOAP and GWT APIs. An authenticated attacker able to issue queries against Red Hat Enterprise Virtualization Manager could use this flaw to query data that they should not have access to. (CVE-2012-2696)

These issues were discovered by Red Hat.

In addition to resolving the above security issues these updated Red Hat Enterprise Virtualization Manager packages fix various bugs, and add various enhancements.

Documentation for these bug fixes and enhancements is available in the Technical Notes :

https://access.redhat.com/knowledge/docs/en-US/ Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/index.html

All Red Hat Enterprise Virtualization Manager users are advised to upgrade to these updated packages which resolve these security issues, fix these bugs, and add these enhancements.

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2012:1508 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - rhev: vds_installer の安全でない /tmp の使用 (CVE-2012-0860)

  - rhev: vds_installer は、第 2 段階のインストーラーをダウンロードする際に MITM の影響を受けやすくなっています (CVE-2012-0861)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

An updated rhev-hypervisor6 package that fixes one security issue, various bugs, and adds enhancements is now available.

The Red Hat Security Response Team has rated this update as having important security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

The rhev-hypervisor6 package provides a Red Hat Enterprise Virtualization Hypervisor ISO disk image. The Red Hat Enterprise Virtualization Hypervisor is a dedicated Kernel-based Virtual Machine (KVM) hypervisor. It includes everything necessary to run and manage virtual machines: A subset of the Red Hat Enterprise Linux operating environment and the Red Hat Enterprise Virtualization Agent.

Note: Red Hat Enterprise Virtualization Hypervisor is only available for the Intel 64 and AMD64 architectures with virtualization extensions.

A flaw was found in the way Red Hat Enterprise Virtualization Hypervisor hosts were added to the Red Hat Enterprise Virtualization environment. The Python scripts needed to configure the host for Red Hat Enterprise Virtualization were downloaded in an insecure way, that is, without properly validating SSL certificates during HTTPS connections. An attacker on the local network could use this flaw to conduct a man-in-the-middle attack, potentially gaining root access to the host being added to the Red Hat Enterprise Virtualization environment. This update provides the VDSM part of the fix. The RHSA-2012:1506 Red Hat Enterprise Virtualization Manager update must also be installed to completely fix this issue. (CVE-2012-0861)

The CVE-2012-0861 issue was discovered by Red Hat.

This updated package provides updated components that include a fix for one security issue. This issue had no security impact on Red Hat Enterprise Virtualization Hypervisor itself, however. The security fix included in this update addresses the following CVE number :

CVE-2012-0860 (VDSM issue)

This updated Red Hat Enterprise Virtualization Hypervisor package also fixes the following bug :

* This update adds Hypervisor support for use in Red Hat Enterprise Virtualization 3.1 compatible clusters. (BZ#846811)

This update includes :

* A fence-agents bug fix update (RHBA-2012:1439).
https://rhn.redhat.com/errata/RHBA-2012-1439.html

* An ovirt-node bug fix update (RHBA-2012:1500).
https://rhn.redhat.com/errata/RHBA-2012-1500.html

* A libvirt bug fix update (RHBA-2012:1501).
https://rhn.redhat.com/errata/RHBA-2012-1501.html

* A sanlock bug fix and enhancement update (RHBA-2012:1507).
https://rhn.redhat.com/errata/RHBA-2012-1507.html

* An important vdsm security and enhancement update (RHSA-2012:1508).
https://rhn.redhat.com/errata/RHBA-2012-1508.html

* A qemu-kvm-rhev bug fix update (RHBA-2012:1510).
https://rhn.redhat.com/errata/RHBA-2012-1510.html

Users of the Red Hat Enterprise Virtualization Hypervisor are advised to upgrade to this updated package, which includes these security updates, bug fixes and enhancements.

Red Hat Enterprise Virtualization Manager 3.1 が現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise Virtualization Manager は、Red Hat Enterprise Linux および Microsoft Windows を実行する仮想サーバーのコレクションを集中的に管理するための仮想ツールです。このパッケージには、管理者による Red Hat Enterprise Virtualization Manager 上でのクエリと操作の実行を可能にする、スクリプト可能なコマンドセットである Red Hat Enterprise Virtualization Manager API も含まれています。

Red Hat Enterprise Linux ホストが Red Hat Enterprise Virtualization 環境に追加される方法において、欠陥が検出されました。Red Hat Enterprise Virtualization 向けホストの構成に必要な Python スクリプトが「/tmp/」ディレクトリに保存され、攻撃者によって事前に作成される可能性があります。Red Hat Enterprise Virtualization 環境に追加されるホスト上の権限のないローカルユーザーが、この欠陥を悪用して権限を昇格する可能性があります。この更新では、Red Hat Enterprise Virtualization Manager の 部分修正を提供します。RHSA-2012:1508 VDSM 更新（Red Hat Enterprise Linux ホスト）も、この問題を完全に修正するためにインストールする必要があります。（CVE-2012-0860）

Red Hat Enterprise Linux および Red Hat Enterprise Virtualization Hypervisor ホストが Red Hat Enterprise Virtualization 環境に追加される方法に、欠陥が見つかりました。Red Hat Enterprise Virtualization 向けホストの構成に必要な Python スクリプトが、 HTTPS 接続中に SSL 証明書を適切に検証しない、安全でない方法でダウンロードされました。ローカルネットワーク上の攻撃者がこの欠陥を悪用して中間者攻撃を実行し、Red Hat Enterprise Virtualization 環境に追加されているホストへの root アクセス権を取得する可能性があります。この更新では、Red Hat Enterprise Virtualization Manager の 部分修正を提供します。RHSA-2012:1508 VDSM 更新（Red Hat Enterprise Linux ホスト）または RHSA-2012:1505 rhev-hypervisor6 更新（Red Hat Enterprise Virtualization Hypervisor ホスト）も、この問題を完全に修正するためにインストールする必要があります。（CVE-2012-0861）

特定の状況で、Red Hat Enterprise Virtualization Manager が SPICE（Simple Protocol for Independent Computing Environments）セッション間の仮想マシンのスクリーンをロックできない可能性があることが判明しました。ユーザーが Red Hat Enterprise Virtualization Manager の仮想マシンにアクセスできる場合、この欠陥を悪用して、他のユーザーのロックされていないデスクトップセッションにアクセスできる可能性があります。
（CVE-2011-4316）

ストレージドメイン間でディスクを移動するときに、Red Hat Enterprise Virtualization Manager が適切に wipe-after-delete を渡さないことが判明しました。このために、こうしたディスクは期待通りにセキュアに削除されず、情報漏洩の可能性があります。
（CVE-2012-5516）

Red Hat Enterprise Virtualization Manager のバックエンドが、SOAP および GWT API を介してリクエストを行うユーザーの権限をチェックする方法で、欠陥が見つかりました。認証された攻撃者が Red Hat Enterprise Virtualization Manager に対してクエリを発行できる場合、この欠陥を利用して、アクセスすべきでないデータをクエリする可能性があります。（CVE-2012-2696）

これらの問題は、Red Hat により発見されました。

上記のセキュリティの問題の解決に加えて、これらの更新済みの Red Hat Enterprise Virtualization Manager パッケージがさまざまなバグを修正し、さまざまな拡張機能を追加します。

テクニカルノートでこれらのバグ修正と強化に関するドキュメントを参照できます：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/index.html

Red Hat Enterprise Virtualization Manager の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらのセキュリティ問題を解決し、これらのバグを修正し、そしてこれらの拡張機能を追加することが推奨されています。

1 つのセキュリティ問題およびさまざまなバグを修正し、拡張機能を追加する更新済みの rhev-hypervisor6 パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

rhev-hypervisor6 パッケージは、Red Hat Enterprise Virtualization Hypervisor ISO ディスクイメージを提供します。Red Hat Enterprise Virtualization Hypervisor は、専用のカーネルベース仮想マシン（KVM）ハイパーバイザーです。仮想マシンの実行および管理に必要な全ての機能が含まれています：Red Hat Enterprise Linux 操作環境と Red Hat Enterprise Virtualization Agent のサブセット。

注：Red Hat Enterprise Virtualization ハイパーバイザーが使用できるのは、仮想化拡張対応の Intel 64 および AMD64 のアーキテクチャだけです。

Red Hat Enterprise Virtualization Hypervisor ホストが Red Hat Enterprise Virtualization 環境に追加される方法で、欠陥が見つかりました。Red Hat Enterprise Virtualization 向けホストの構成に必要な Python スクリプトが、 HTTPS 接続中に SSL 証明書を適切に検証しない、安全でない方法でダウンロードされました。ローカルネットワーク上の攻撃者がこの欠陥を悪用して中間者攻撃を実行し、Red Hat Enterprise Virtualization 環境に追加されているホストへの root アクセス権を取得する可能性があります。この更新では、修正の VDSM 部分を提供します。RHSA-2012:1506 Red Hat Enterprise Virtualization Manager の更新も、この問題を完全に修正するためにインストールする必要があります。（CVE-2012-0861）

CVE-2012-0861 の問題は、Red Hat により発見されました。

この更新済みパッケージは、1 つのセキュリティ問題の修正を含む更新済みコンポーネントを提供します。しかし、この問題による Red Hat Enterprise Virtualization Hypervisor 自体のセキュリティへの影響はありませんでした。この更新に含まれているセキュリティ修正は、以下の CVE 番号に対処します：

CVE-2012-0860（VDSM の問題）

この更新済みの Red Hat Enterprise Virtualization Hypervisor パッケージは、次のバグも修正します。

* この更新は、Red Hat Enterprise Virtualization 3.1 と互換性のあるクラスターで用いるハイパーバイザーのサポートを追加します。（BZ#846811）

この更新には次のものが含まれます：

* fence-agents のバグ修正の更新（RHBA-2012:1439）。
https://rhn.redhat.com/errata/RHBA-2012-1439.html

* ovirt-node のバグ修正の更新（RHBA-2012:1500）。
https://rhn.redhat.com/errata/RHBA-2012-1500.html

* libvirt のバグ修正の更新（RHBA-2012:1501）。
https://rhn.redhat.com/errata/RHBA-2012-1501.html

* sanlock のバグ修正と拡張機能の更新（RHBA-2012:1507）。
https://rhn.redhat.com/errata/RHBA-2012-1507.html

* 重大な vdsm のセキュリティと拡張機能の更新（RHSA-2012:1508）。
https://rhn.redhat.com/errata/RHBA-2012-1508.html

* qemu-kvm-rhev のバグ修正の更新（RHBA-2012:1510）。
https://rhn.redhat.com/errata/RHBA-2012-1510.html

Red Hat Enterprise Virtualization Hypervisor のユーザーは、これらのセキュリティ更新、バグ修正、拡張機能を含むこの更新済みパッケージへアップグレードすることが推奨されます。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2012:1508 公告中提及的多个漏洞影响。

  - rhev：vds_installer 不安全的 /tmp 使用(CVE-2012-0860)

  - rhev：下载 2nd stage 安装程序时，vds_installer 容易受到 MITM 的影响 (CVE-2012-0861)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Red Hat Enterprise Virtualization Manager 3.1 现在可用。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 是可视化工具，用于集中管理运行 Red Hat Enterprise Linux 和 Microsoft Windows 的虚拟服务器的集合。此程序包也包括 Red Hat Enterprise Virtualization Manager API，即一组可编脚本的命令，使管理员能够执行有关 Red Hat Enterprise Virtualization Manager 的查询和操作。

在将 Red Hat Enterprise Linux 主机添加到 Red Hat Enterprise Virtualization 环境的方式中发现一个缺陷。需要 Python 脚本来为“/tmp/”目录中存储的 Red Hat Enterprise Virtualization 配置主机，攻击者可以预先创建这些脚本。添加到 Red Hat Enterprise Virtualization 环境的主机中的本地非特权用户可利用此缺陷升级其权限。此更新为 Red Hat Enterprise Virtualization Manager 提供部分补丁。还必须安装 RHSA-2012:1508 VDSM 更新（Red Hat Enterprise Linux 主机）才能完全修复此问题。(CVE-2012-0860)

在将 Red Hat Enterprise Linux 和 Red Hat Enterprise Virtualization 管理程序主机添加到 Red Hat Enterprise Virtualization 环境的方式中发现一个缺陷。需要 Python 脚本来为以不安全的方式（即在 HTTPS 连接期间没有正确验证 SSL 证书）下载的 Red Hat Enterprise Virtualization 配置主机。本地网络中的攻击者可利用此缺陷发动中间人攻击，从而可获取对添加到 Red Hat Enterprise Virtualization 环境的主机的根访问权限。此更新为 Red Hat Enterprise Virtualization Manager 提供部分补丁。还必须安装 RHSA-2012:1508 VDSM 更新（Red Hat Enterprise Linux 主机）或 RHSA-2012:1505 rhev-hypervisor6 更新（Red Hat Enterprise Virtualization Hypervisor 主机）才能完全修复此问题。(CVE-2012-0861)

发现 Red Hat Enterprise Virtualization Manager 在某些情况下会无法在 SPICE（面向独立计算环境的简单协议）会话之间锁定虚拟机上的屏幕。能够访问 Red Hat Enterprise Virtualization Manager 中的虚拟机的用户可能会利用此缺陷来获取对其他用户未锁定的桌面会话的访问权限。
(CVE-2011-4316)

发现 Red Hat Enterprise Virtualization Manager 在存储域之间移动磁盘时未正确传递 wipe-after-delete。这样造成未按预期安全地删除此类磁盘，从而可能导致信息泄露。
(CVE-2012-5516)

在 Red Hat Enterprise Virtualization Manager 后端对通过 SOAP 和 GWT API 发起请求的用户的权限进行检查的方式中发现一个缺陷。能够针对 Red Hat Enterprise Virtualization Manager 进行查询的经认证的攻击者可使用此缺陷来查询其不应有权访问的数据。(CVE-2012-2696)

这些问题由 Red Hat 发现。

除了解决以上安全问题，这些更新后的 Red Hat Enterprise Virtualization Manager 程序包还修复各种缺陷并添加多项增强。

技术札记中提供关于这些缺陷补丁和增强功能的文档：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/index.html

建议所有 Red Hat Enterprise Virtualization Manager 用户升级这些更新后的程序包，其中解决了这些安全问题、修复了这些缺陷并添加了这些增强。

更新后的 rhev-hypervisor6 程序包修复了一个安全问题和多个缺陷，并增加了增强，现在可用。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

rhev-hypervisor6 程序包提供 Red Hat Enterprise Virtualization 管理程序 ISO 磁盘镜像。Red Hat Enterprise Virtualization 管理程序是专用的基于内核的虚拟机 (KVM) 管理程序。它包括运行和管理虚拟机所需的全部内容：Red Hat Enterprise Linux 操作环境的子集和 Red Hat Enterprise Virtualization 代理。

注意：Red Hat Enterprise Virtualization 管理程序仅适用于含虚拟化扩展的 Intel 64 和 AMD64 架构。

在将 Red Hat Enterprise Virtualization Hypervisor 主机添加到 Red Hat Enterprise Virtualization 环境的方式中发现一个缺陷。需要 Python 脚本来为以不安全的方式（即在 HTTPS 连接期间没有正确验证 SSL 证书）下载的 Red Hat Enterprise Virtualization 配置主机。本地网络中的攻击者可利用此缺陷发动中间人攻击，从而可获取对添加到 Red Hat Enterprise Virtualization 环境的主机的根访问权限。此更新提供补丁的 VDSM 部分。还必须安装 RHSA-2012:1506 Red Hat Enterprise Virtualization Manager 更新，才能完全修复此问题。(CVE-2012-0861)

CVE-2012-0861 问题由 Red Hat 发现。

此更新后的程序包提供更新后的组件，其中包括针对安全问题的补丁。但是，此问题对 Red Hat Enterprise Virtualization Hypervisor 本身没有安全影响。可使用此更新中包含的安全补丁处理以下 CVE 编号：

CVE-2012-0860（VDSM 问题）

此更新后的 Red Hat Enterprise Virtualization 管理程序程序包还修复了以下缺陷：

* 此更新增加了 Hypervisor 支持，可用于 Red Hat Enterprise Virtualization 3.1 兼容群集。(BZ#846811)

此更新包括：

* fence-agents 缺陷补丁更新 (RHBA-2012:1439)。
https://rhn.redhat.com/errata/RHBA-2012-1439.html

* ovirt-node 缺陷补丁更新 (RHBA-2012:1500)。
https://rhn.redhat.com/errata/RHBA-2012-1500.html

* libvirt 缺陷补丁更新 (RHBA-2012:1501)。
https://rhn.redhat.com/errata/RHBA-2012-1501.html

* sanlock 缺陷补丁和增强更新 (RHBA-2012:1507)。
https://rhn.redhat.com/errata/RHBA-2012-1507.html

* 重要的 vdsm 安全和增强更新 (RHSA-2012:1508)。
https://rhn.redhat.com/errata/RHBA-2012-1508.html

* qemu-kvm-rhev 缺陷补丁更新 (RHBA-2012:1510)。
https://rhn.redhat.com/errata/RHBA-2012-1510.html

建议 Red Hat Enterprise Virtualization Hypervisor 的用户升级此更新后的程序包，其中包含这些安全更新、缺陷补丁和增强。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2012:1508 公告中提及的多個弱點影響。

  - rhev：vds_installer 不安全使用 /tmp (CVE-2012-0860)

  - rhev：下載第 2 階段安裝程式時，vds_installer 容易受到 MITM 影響 (CVE-2012-0861)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供 Red Hat Enterprise Virtualization Manager 3.1 版。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 是一種視覺化工具，可用於集中管理執行 Red Hat Enterprise Linux 和 Microsoft Windows 的虛擬伺服器集合。此套件還提供 Red Hat Enterprise Virtualization Manager API，其為一組可編寫指令碼命令，讓系統管理員能在 Red Hat Enterprise Virtualization Manager 上執行查詢和其他作業。

在將 Red Hat Enterprise Linux 新增至 Red Hat Enterprise Virtualization 環境的方式中發現一個瑕疵。設定 Red Hat Enterprise Virtualization 主機時所需的 Python 指令碼會儲存到「/tmp/」目錄中，且攻擊者可以預先建立該指令碼。若主機中無權限的本機使用者是即將新增到 Red Hat Enterprise Virtualization 環境中的使用者，其便可利用此瑕疵提升自己的權限。此更新會隨修正提供 Red Hat Enterprise Virtualization。必須一併安裝 RHSA-2012:1508 VDSM 更新 (Red Hat Enterprise Linux 主機)，才能完全修正此問題。(CVE-2012-0860)

在將 Red Hat Enterprise Linux 和 Red Hat Enterprise Virtualization Hypervisor 主機新增至 Red Hat Enterprise Virtualization 環境的方式中發現一個瑕疵。在下載設定 Red Hat Enterprise Virtualization 主機所需的 Python 指令碼時，所用的方法並不安全，也就是在 HTTPS 連線期間未正確驗證 SSL 憑證。本機網路上的攻擊者可利用此瑕疵發動攔截式攻擊，從而可能取得即將新增至 Red Hat Enterprise Virtualization 環境之主機的 root 存取權。此更新會隨修正提供 Red Hat Enterprise Virtualization。必須一併安裝 RHSA-2012:1508 VDSM 更新 (Red Hat Enterprise Linux 主機) 或 RHSA-2012:1505 rhev-hypervisor6 更新 (Red Hat Enterprise Virtualization Hypervisor 主機)，才能完全修正此問題。(CVE-2012-0861)

據發現，在某些情況下，Red Hat Enterprise Virtualization Manager 會無法鎖定 SPICE (Simple Protocol for Independent Computing Environments) 工作階段之間的虛擬機器螢幕畫面。若使用者具有 Red Hat Enterprise Virtualization Manager 中虛擬機器的存取權，即可能惡意利用此瑕疵，取得由其他使用者鎖定之桌面工作階段的存取權。
(CVE-2011-4316)

據發現，Red Hat Enterprise Virtualization Manager 在儲存網域之間移動磁碟時，未正確傳遞刪除後移除命令。此可導致這些磁碟無法按照預期並安全地刪除，從而可能導致資訊洩漏。
(CVE-2012-5516)

在 Red Hat Enterprise Virtualization Manager 後端檢查透過 SOAP 和 GWT API 提出要求之使用者權限的方式中，發現一個瑕疵。若經驗證的攻擊者可向 Red Hat Enterprise Virtualization Manager 發出查詢，即可利用此瑕疵查詢其原本不可存取的資料。(CVE-2012-2696)

這些問題是由 Red Hat 所發現。

除了解決上述安全性問題之外，這些更新版 Red Hat Enterprise Virtualization Manager 套件還可修正多種錯誤，並新增多種增強功能。

這些錯誤修正和增強功能的相關文件已發佈到「技術提示」：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Enterprise_Virtualization/3.1/html/Technical_Notes/index.html

建議所有 Red Hat Enterprise Virtualization Manager 使用者皆升級至這些更新版套件，其可解決這些安全性問題、修正這些錯誤並新增這些增強功能。

現已提供更新版 rhev-hypervisor6 套件，可修正一個安全性問題、多種錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

rhev-hypervisor6 套件會提供 Red Hat Enterprise Virtualization Hypervisor ISO 磁碟映像。Red Hat Enterprise Virtualization Hypervisor 是一種專用的核心虛擬機器 (KVM) Hypervisor。其內含執行和管理虛擬機器時需要用到的所有項目： Red Hat Enterprise Linux 作業環境的子集，以及 Red Hat Enterprise Virtualization 代理程式。

注意：Red Hat Enterprise Virtualization Hypervisor 僅適用於具有虛擬化延伸模組的 Intel 64 和 AMD64 架構。

在將 Red Hat Enterprise Virtualization Hypervisor 主機新增至 Red Hat Enterprise Virtualization 環境的方式中發現一個瑕疵。在下載設定 Red Hat Enterprise Virtualization 主機所需的 Python 指令碼時，所用的方法並不安全，也就是在 HTTPS 連線期間未正確驗證 SSL 憑證。本機網路上的攻擊者可利用此瑕疵發動攔截式攻擊，從而可能取得即將新增至 Red Hat Enterprise Virtualization 環境之主機的 root 存取權。此更新提供該修正的 VDSM 部分。也必須安裝 RHSA-2012:1506 Red Hat Enterprise Virtualization Manager 更新，才能完全修正此問題。(CVE-2012-0861)

CVE-2012-0861 問題是由 Red Hat 發現。

此更新版套件提供更新元件，內含一個安全性問題的修正。這個問題對 Red Hat Enterprise Virtualization Hypervisor 本身並不會造成任何安全性影響。此更新所附的安全性修正可解決下列 CVE 編號問題：

CVE-2012-0860 (VDSM 問題)

此更新版 Red Hat Enterprise Virtualization Hypervisor 套件也修正了下列錯誤：

* 此更新新增在 Red Hat Enterprise Virtualization 3.1 相容叢集中使用 Hypervisor 的支援。(BZ#846811)

此更新包括：

* fence-agents 錯誤修正更新 (RHBA-2012:1439)。
https://rhn.redhat.com/errata/RHBA-2012-1439.html

* ovirt-node 錯誤修正更新 (RHBA-2012:1500)。
https://rhn.redhat.com/errata/RHBA-2012-1500.html

* libvirt 錯誤修正更新 (RHBA-2012:1501)。
https://rhn.redhat.com/errata/RHBA-2012-1501.html

* sanlock 錯誤修正與增強更新 (RHBA-2012:1507)。
https://rhn.redhat.com/errata/RHBA-2012-1507.html

* 重要的 vdsm 安全性與增強更新 (RHSA-2012:1508)。
https://rhn.redhat.com/errata/RHBA-2012-1508.html

* qemu-kvm-rhev 錯誤修正更新 (RHBA-2012:1510)。
https://rhn.redhat.com/errata/RHBA-2012-1510.html

建議 Red Hat Enterprise Virtualization Hypervisor 的使用者升級至此更新版套件，其中包含這些安全性更新、錯誤修正和增強功能。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
78941	RHEL 6 : rhev-3.1.0 vdsm (RHSA-2012:1508)	Nessus	Red Hat Local Security Checks	2014/11/8	2025/3/20	high
78940	RHEL 6 : Virtualization Manager (RHSA-2012:1506)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78941	RHEL 6：rhev-3.1.0 vdsm （RHSA-2012：1508）	Nessus	Red Hat Local Security Checks	2014/11/8	2025/3/20	high
78939	RHEL 6 : rhev-hypervisor6 (RHSA-2012:1505)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78940	RHEL 6：Virtualization Manager（RHSA-2012:1506）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78939	RHEL 6：rhev-hypervisor6（RHSA-2012:1505）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78941	RHEL 6：rhev-3.1.0 vdsm (RHSA-2012:1508)	Nessus	Red Hat Local Security Checks	2014/11/8	2025/3/20	high
78940	RHEL 6：Virtualization Manager (RHSA-2012:1506)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78939	RHEL 6：rhev-hypervisor6 (RHSA-2012:1505)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78941	RHEL 6：rhev-3.1.0 vdsm (RHSA-2012:1508)	Nessus	Red Hat Local Security Checks	2014/11/8	2025/3/20	high
78940	RHEL 6：Virtualization Manager (RHSA-2012:1506)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
78939	RHEL 6 : rhev-hypervisor6 (RHSA-2012:1505)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium

检测

插件搜索

high

medium

high

medium

medium

medium

high

medium

medium

high

medium

medium