已发现 luci 可在会话 Cookie 中存储用户名和密码。此问题可阻止会话非活动超时功能正确运行，并允许攻击者访问会话 Cookie，从而获得受害者的认证凭据。
(CVE-2012-3359)

此更新还修复以下缺陷：

- 在此更新之前，luci 不允许配置 fence_apc_snmp 代理。因此，用户不能配置 fence_apc_snmp 或查看其现有配置。此更新添加了一个新屏幕，允许配置 fence_apc_snmp。

- 在此更新之前，luci 不允许启用或禁用 fence_ilo fence 代理的 SSL 操作。因此，用户不能配置 fence_ilo 的“ssl”属性或查看其现有配置。此更新添加了一个显示 SSL 操作是否启用的复选框，允许用户编辑该属性。

- 在此更新之前，luci 不允许查看或编辑 fence_ilo_mp fence 代理的“identity_file”属性。因此，用户不能配置 fence_ilo_mp fence 代理的“identity_file”属性或查看其现有配置。此更新添加了一个显示 fence_ilo_mp 的“identity_file”属性当前状态的文本输入框，允许用户编辑该属性。

- 在此更新之前，卸载 luci 程序包后，冗余文件和目录仍然保留在文件系统的 /var/lib/luci/var/pts 和 /usr/lib{,64}/luci/zope/var/pts 中。此更新可在卸载 luci 程序包时删除这些文件和目录。

- 在此更新之前，用户在为故障转移域配置恢复策略时可从中进行选择的恢复策略列表中未显示“restart-disable”恢复策略。因此，不能通过 luci GUI 设置“重启-禁用”恢复策略。此更新将“重启-禁用”恢复选项添加到恢复策略下拉列表中。

- 在此更新之前，“yum list”输出中的非预期换行可在创建群集或将现有节点添加到群集时导致程序包升级和/或安装失败。因此，创建集群以及添加集群节点到现有群集时失败。此更新修改了 ricci 后台程序，使其可正确处理“yum 列表”输出中的换行符。

此外，此更新还添加了以下增强：

- 此更新向 luci 程序包添加对配置 Intel iPDU fence 代理的支持。

- 此更新向 FS 和 Cluster FS 资源代理配置屏幕添加对查看和更改新“nfsrestart”属性的状态的支持。

安装此更新后，luci 和 ricci 服务将自动重新启动。

更新后的 conga 程序包修复了一个安全问题和多种缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Conga 项目是远程工作站的管理系统。它包括 luci 和 ricci 两部分，前者是一款基于 Web 的安全前端，而后者是一款将传入消息分发到底层管理模块的安全后台程序。

已发现 luci 可在会话 Cookie 中存储用户名和密码。此问题可阻止会话非活动超时功能正确运行，并允许攻击者访问会话 Cookie，从而获得受害者的认证凭据。
(CVE-2012-3359)

Red Hat 在此感谢 Cybercom Sweden East AB 的 George Hedfors 报告此问题。

此更新还修复以下缺陷：

* 在此更新之前，luci 不允许配置 fence_apc_snmp 代理。因此，用户不能配置 fence_apc_snmp 或查看其现有配置。此更新添加了一个新屏幕，允许配置 fence_apc_snmp。(BZ#832181)

* 在此更新之前，luci 不允许启用或禁用 fence_ilo fence 代理的 SSL 操作。因此，用户不能配置 fence_ilo 的“ssl”属性或查看其现有配置。此更新添加了一个显示 SSL 操作是否启用的复选框，允许用户编辑该属性。(BZ#832183)

* 在此更新之前，luci 不允许查看或编辑 fence_ilo_mp fence 代理的“identity_file”属性。因此，用户不能配置 fence_ilo_mp fence 代理的“identity_file”属性或查看其现有配置。此更新添加了一个显示 fence_ilo_mp 的“identity_file”属性当前状态的文本输入框，允许用户编辑该属性。(BZ#832185)

* 在此更新之前，卸载 luci 程序包时，冗余文件和目录仍然保留在文件系统的 /var/lib/luci/var/pts 和 /usr/lib{,64}/luci/zope/var/pts 中。
此更新可在卸载 luci 程序包时删除这些文件和目录。(BZ#835649)

* 在此更新之前，“重启-禁用”恢复策略未显示在恢复策略列表中，因此用户不能在为故障转移域配置恢复策略时从中进行选择。因此，不能通过 luci GUI 设置“重启-禁用”恢复策略。此更新将“重启-禁用”恢复选项添加到恢复策略下拉列表中。(BZ#839732)

* 在此更新之前，“yum 列表”输出中非预期的换行符可在创建集群或添加节点到现有集群时引起程序包升级和/或安装失败。因此，创建集群以及添加集群节点到现有群集时失败。此更新修改了 ricci 后台程序，使其可正确处理“yum 列表”输出中的换行符。(BZ#842865)

此外，此更新还添加了以下增强：

* 此更新向 luci 程序包添加了对配置 Intel iPDU fence 代理的支持。(BZ#741986)

* 此更新向 FS 和集群 FS 资源代理配置屏幕添加了对查看和更改新“nfsrestart”属性状态的支持。(BZ#822633)

建议所有 conga 用户升级这些更新后的程序包，其中解决了这些问题并添加这些增强。安装此更新后，luci 和 ricci 服务将自动重新启动。

来自 Red Hat 安全公告 2013:0128：

更新后的 conga 程序包修复了一个安全问题和多种缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Conga 项目是远程工作站的管理系统。它包括 luci 和 ricci 两部分，前者是一款基于 Web 的安全前端，而后者是一款将传入消息分发到底层管理模块的安全后台程序。

已发现 luci 可在会话 Cookie 中存储用户名和密码。此问题可阻止会话非活动超时功能正确运行，并允许攻击者访问会话 Cookie，从而获得受害者的认证凭据。
(CVE-2012-3359)

Red Hat 在此感谢 Cybercom Sweden East AB 的 George Hedfors 报告此问题。

此更新还修复以下缺陷：

* 在此更新之前，luci 不允许配置 fence_apc_snmp 代理。因此，用户不能配置 fence_apc_snmp 或查看其现有配置。此更新添加了一个新屏幕，允许配置 fence_apc_snmp。(BZ#832181)

* 在此更新之前，luci 不允许启用或禁用 fence_ilo fence 代理的 SSL 操作。因此，用户不能配置 fence_ilo 的“ssl”属性或查看其现有配置。此更新添加了一个显示 SSL 操作是否启用的复选框，允许用户编辑该属性。(BZ#832183)

* 在此更新之前，luci 不允许查看或编辑 fence_ilo_mp fence 代理的“identity_file”属性。因此，用户不能配置 fence_ilo_mp fence 代理的“identity_file”属性或查看其现有配置。此更新添加了一个显示 fence_ilo_mp 的“identity_file”属性当前状态的文本输入框，允许用户编辑该属性。(BZ#832185)

* 在此更新之前，卸载 luci 程序包时，冗余文件和目录仍然保留在文件系统的 /var/lib/luci/var/pts 和 /usr/lib{,64}/luci/zope/var/pts 中。
此更新可在卸载 luci 程序包时删除这些文件和目录。(BZ#835649)

* 在此更新之前，“重启-禁用”恢复策略未显示在恢复策略列表中，因此用户不能在为故障转移域配置恢复策略时从中进行选择。因此，不能通过 luci GUI 设置“重启-禁用”恢复策略。此更新将“重启-禁用”恢复选项添加到恢复策略下拉列表中。(BZ#839732)

* 在此更新之前，“yum 列表”输出中非预期的换行符可在创建集群或添加节点到现有集群时引起程序包升级和/或安装失败。因此，创建集群以及添加集群节点到现有群集时失败。此更新修改了 ricci 后台程序，使其可正确处理“yum 列表”输出中的换行符。(BZ#842865)

此外，此更新还添加了以下增强：

* 此更新向 luci 程序包添加了对配置 Intel iPDU fence 代理的支持。(BZ#741986)

* 此更新向 FS 和集群 FS 资源代理配置屏幕添加了对查看和更改新“nfsrestart”属性状态的支持。(BZ#822633)

建议所有 conga 用户升级这些更新后的程序包，其中解决了这些问题并添加这些增强。安装此更新后，luci 和 ricci 服务将自动重新启动。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Red Hat Conga 中的 Luci 将 Base64 编码字符串中的用户的用户名和密码存储在 __ac 会话 Cookie 内，从而允许攻击者通过访问此 Cookie 获取权限。注意：由于存在不同的漏洞类型，已将此问题拆分为 。使用 CVE-2013-7347 不正确地强制执行用户超时。 (CVE-2012-3359)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
63592	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 conga	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	low
64074	RHEL 5：conga (RHSA-2013:0128)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	critical
68699	Oracle Linux 5：conga (ELSA-2013-0128)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical
217725	Linux Distros 未修补的漏洞: CVE-2012-3359	Nessus	Misc.	2025/3/4	2025/3/4	critical
63573	CentOS 5：conga (CESA-2013:0128)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	low

检测

插件搜索

low

critical

critical

critical

low