远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2012-1269 公告中提及的漏洞的影响。

    python-qpid [0.14-11]
    - BZs825078
    - 已解决：rhbz#840053

    qpid-cpp [0.14-22.0.1.el6_3 ]
    - 更新规范文件中的摘要和描述以使其保持产品中立

    [0.14-22]
    - BZs609685、849654、854004

    [0.14-21]
    - BZs831365、840982、844618

    [0.14-20]
    - BZs683711、689408、825078、834608、841196、841488

    [0.14-19]
    - BZ609685、683711、693444、707682、729311、801465、808090、809357、811481、817283、826989、831365、835628

    [0.14-18]
    - BZs609685、729311、808090、809357、817283

    qpid-qmf [0.14-14.0.1.el6_3]
    - 更改版本供应商

    [0.14-14]
    - BZs693845、773700、806869、847331

    qpid-tools [0.14-6]
    - 已解决：rhbz#840058
    - 已修复缺陷 850111 - qpid-stat -c mech 列数据缺失

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 qpid 程序包修复了一个安全问题、多项缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache Qpid 是一个可靠的跨平台异步消息传送系统，支持采用若干通用编程语言的高级消息队列协议 (AMQP)。

已发现 Qpid 后台程序 (qpidd) 不允许限制来自客户端的连接数。恶意客户端可以利用此缺陷打开过多的连接，使其他合法客户端无法与 qpidd 建立连接。(CVE-2012-2145)

为解决 CVE-2012-2145，引入了新的 qpidd 配置选项：max-negotiate-time 定义初始协议协商必须成功的时长，connection-limit-per-user 和 connection-limit-per-ip 可用于限制每个用户和客户端主机 IP 的连接数。有关其他详细信息，请参阅 qpidd 手册页。

此外，qpid-cpp、qpid-qmf、qpid-tools 和 python-qpid 程序包已升级至上游版本 0.14，此版本提供 Red Hat Enterprise MRG 2.2 支持，并且在上一版本的基础上提供了多个缺陷补丁和增强功能。（BZ#840053、BZ#840055、BZ#840056、BZ#840058）

建议所有 qpid 用户升级这些更新后的程序包，其中修复了这些问题并添加这些增强。

Apache Qpid 是一个可靠的跨平台异步消息传送系统，支持采用若干通用编程语言的高级消息队列协议 (AMQP)。

已发现 Qpid 后台程序 (qpidd) 不允许限制来自客户端的连接数。恶意客户端可以利用此缺陷打开过多的连接，使其他合法客户端无法与 qpidd 建立连接。(CVE-2012-2145)

为解决 CVE-2012-2145，引入了新的 qpidd 配置选项：max-negotiate-time 定义初始协议协商必须成功的时长，connection-limit-per-user 和 connection-limit-per-ip 可用于限制每个用户和客户端主机 IP 的连接数。有关其他详细信息，请参阅 qpidd 手册页。

此外，qpid-cpp、qpid-qmf、qpid-tools 和 python-qpid 程序包已升级到上游版本 0.14，提供许多缺陷补丁和对上一版本的增强。

建议所有 qpid 用户升级这些更新后的程序包，其中修复了这些问题并添加这些增强。

对于依存关系解析，此更新添加了 saslwrapper、saslwrapper-devel、python-saslwrapper 和 ruby-saslwrapper

更新后的 Messaging 组件程序包修复了两个安全问题和多个缺陷，并添加了多种增强，现在可用于 Red Hat Enterprise Linux 5 的 Red Hat Enterprise MRG 2.2。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise MRG（Messaging、Realtime 和 Grid）是用于企业计算的下一代 IT 基础架构。MRG 为企业客户提供更高的性能、可靠性和互操作性以及更快的计算速度。

MRG Messaging 是基于 AMQP（高级消息队列协议）的针对 Linux 的高速可靠消息分发工具，该工具是一个为企业消息传送设计的开放协议标准，可使关键任务消息传送作为标准服务进行广泛使用，并实现企业消息传送在各类平台、编程语言和供应商之间的互操作性。MRG Messaging 包括一个 AMQP 0-10 消息代理；用于 C++、Java JMS 和 Python 的 AMQP 0-10 客户端库；以及暂留库和管理工具。

已发现 Apache Qpid 后台程序 (qpidd) 不允许限制来自客户端的连接数。恶意客户端可以利用此缺陷打开过多的连接，使其他合法客户端无法与 qpidd 建立连接。(CVE-2012-2145)

为解决 CVE-2012-2145，引入了新的 qpidd 配置选项：max-negotiate-time 定义初始协议协商必须成功的时长，connection-limit-per-user 和 connection-limit-per-ip 可用于限制每个用户和客户端主机 IP 的连接数。有关其他详细信息，请参阅 qpidd 手册页。

已发现 qpidd 不要求对新代理加入群集时创建的“catch-up”影子连接进行认证。恶意客户端可利用此缺陷绕过客户端认证。(CVE-2012-3467)

此更新还修复了多种缺陷并添加了增强。
“参考”部分链接的技术札记文档中近期将提供这些更改的文档。

建议 Red Hat Enterprise MRG 2.2 的消息功能的所有用户升级这些更新后的程序包，其中解决了 Red Hat Enterprise MRG 2 技术札记中说明的问题并添加了相应增强。安装更新后的程序包后，请通过在所有节点上运行“service qpidd stop”或在任一群集节点上运行“qpid-cluster --all-stop”停止群集。停止后，在所有节点上使用“service qpidd start”重新启动群集才能使更新生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
68626	Oracle Linux 6：qpid (ELSA-2012-1269)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	medium
62209	RHEL 6：qpid (RHSA-2012:1269)	Nessus	Red Hat Local Security Checks	2012/9/20	2024/4/27	medium
62218	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 qpid	Nessus	Scientific Linux Local Security Checks	2012/9/21	2021/1/14	medium
76648	RHEL 5：MRG Messaging (RHSA-2012:1277)	Nessus	Red Hat Local Security Checks	2014/7/22	2024/4/27	medium
62217	CentOS 6：qpid (CESA-2012:1269)	Nessus	CentOS Local Security Checks	2012/9/21	2021/1/4	medium

检测

插件搜索

medium

medium

medium

medium

medium