The version of the remote MongoDB server is a version prior to 2.3.2. It is, therefore, potentially affected by an information disclosure vulnerability.  An error exists related to handling BSON (Binary JavaScript Object Notation) objects having incorrect length that could allow possible disclosure of information held in memory.

Updated Grid component packages that fix two security issues, multiple bugs, and provide several enhancements are now available for Red Hat Enterprise MRG 2.5 for Red Hat Enterprise Linux 6.

The Red Hat Security Response Team has rated this update as having Moderate security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat Enterprise MRG (Messaging, Realtime, and Grid) is a next-generation IT infrastructure for enterprise computing. MRG offers increased performance, reliability, interoperability, and faster computing for enterprise customers.

MRG Grid provides high-throughput computing and enables enterprises to achieve higher peak computing capacity as well as improved infrastructure utilization by leveraging their existing technology to build high performance grids. MRG Grid provides a job-queueing mechanism, scheduling policy, and a priority scheme, as well as resource monitoring and resource management. Users submit their jobs to MRG Grid, where they are placed into a queue. MRG Grid then chooses when and where to run the jobs based upon a policy, carefully monitors their progress, and ultimately informs the user upon completion.

A buffer over-read flaw was found in the way MongoDB handled BSON data. A database user permitted to insert BSON data into a MongoDB server could use this flaw to read server memory, potentially disclosing sensitive data. (CVE-2012-6619)

Note: This update addresses CVE-2012-6619 by enabling the '--objcheck' option in the /etc/mongodb.conf file. If you have edited this file, the updated version will be stored as /etc/mongodb.conf.rpmnew, and you will need to merge the changes into /etc/mongodb.conf manually.

It was found that MRG Management Console (cumin) used the crypt(3) DES-based hash function to hash passwords. DES-based hashing has known weaknesses that allow an attacker to recover plain text passwords from hashes. An attacker able to compromise a cumin user database could potentially use this flaw to recover plain text passwords from the password hashes stored in that database. (CVE-2013-6445)

Note: In deployments where user account information is stored in a database managed by cumin, it is recommended that users change their passwords after this update is applied.

The CVE-2013-6445 issue was discovered by Tomas Novacik of the Red Hat MRG Quality Engineering team.

These updated packages for Red Hat Enterprise Linux 6 also provide numerous bug fixes and enhancements for the Grid component of Red Hat Enterprise MRG. Space precludes documenting all of these changes in this advisory. Refer to the Red Hat Enterprise MRG 2 Technical Notes document, available shortly from the link in the References section, for information on these changes.

All users of the Grid capabilities of Red Hat Enterprise MRG are advised to upgrade to these updated packages, which correct these issues and add these enhancements.

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:0230 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    MongoDB は NoSQL データベースです。

    MongoDB が BSON データを処理する方法で、バッファオーバーリードの欠陥が見つかりました。
    データベースユーザーに BSON データを MongoDB サーバーに挿入できる許可がある場合、この欠陥を利用して、サーバーメモリを読み取り、機密データを漏洩させる可能性があります。
    (CVE-2012-6619)

    すべての mongodb ユーザーは、バックポートされたパッチを含む前述の更新済みパッケージにアップグレードし、この問題を解決することをお勧めしています。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2014:0230 advisory.

    MongoDB is a NoSQL database.

    A buffer over-read flaw was found in the way MongoDB handled BSON data.
    A database user permitted to insert BSON data into a MongoDB server could     use this flaw to read server memory, potentially disclosing sensitive data.
    (CVE-2012-6619)

    All mongodb users are advised to upgrade to these updated packages, which     contain a backported patch to correct this issue.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの MongoDB サーバーのバージョンは、2.3.2 より前のバージョンです。したがって、情報漏洩の脆弱性による影響を受ける可能性があります。長さに間違いがある BSON（Binary JavaScript Object Notation）オブジェクトの処理に関連するエラーが存在するため、メモリに保持されている情報の漏洩が発生する可能性があります。

2 つのセキュリティ問題や複数のバグを修正し、いくつもの拡張機能を提供する、更新済みの Grid コンポーネントパッケージが、Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG 2.5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

MRG Grid は高スロープットなコンピューティングを提供しています。また、企業が、既存のテクノロジーを利用して、より高度なピークコンピューティング力や改善されたインフラストラクチャの利用を実現し、高パフォーマンスグリッドを構築できるようにしています。MRG Grid は、ジョブの待ち行列メカニズム、スケジューリングポリシー、優先度スキーム、リソースの監視、およびリソース管理を提供しています。ユーザーは、MRG Grid にジョブを送信します。すると、ジョブはキューに配置されます。そして、MRG Grid はポリシーに基づいて時と場所を選択し、慎重に進度を監視し、最後には完了時にユーザーに通知を行います。

MongoDB が BSON データを処理する方法で、バッファオーバーリードの欠陥が見つかりました。データベースユーザーに BSON データを MongoDB サーバーに挿入できる許可がある場合、この欠陥を利用して、サーバーメモリを読み取り、機密データを漏洩させる可能性があります。（CVE-2012-6619）

注：この更新は、/etc/mongodb.conf ファイルの中の「--objcheck」オプションを有効にすることで、CVE-2012-6619 に対処します。このファイルを編集している場合は、更新バージョンは、/etc/mongodb.conf.rpmnew として保存され、変更を /etc/mongodb.conf に手動でマージする必要があります。

MRG 管理コンソール（cumin）が crypt(3) DES ベースのハッシュ関数を使用してパスワードのハッシュを行っていたことが判明しました。DES ベースのハッシュは弱いことが知られており、攻撃者がハッシュから平文パスワードを回復する可能性があります。cumin ユーザーデータベースをセキュリティ上で危険にさらすことができる攻撃者が、この欠陥を利用して、そのデータベースに保存されているパスワードハッシュから、平文のパスワードを入手する可能性があります。（CVE-2013-6445）

注：ユーザーのアカウント情報が、cumin によって管理されているデータベースに保存される展開では、ユーザーはこの更新後が適用された後、パスワードを変更することが推奨されています。

CVE-2013-6445 の問題は、Red Hat MRG 品質工学チームの Tomáš Nováčik 氏により発見されました。

Red Hat Enterprise Linux 6 用のこれらの更新済みパッケージでは、Red Hat Enterprise MRG の Grid コンポーネントに対する多くのバグ修正や拡張機能も提供しています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更の情報については、参照セクションのリンクから間もなくアクセスできるようになる、Red Hat Enterprise MRG 2 テクニカルノートドキュメントを参照してください。

Red Hat Enterprise MRG の Grid 機能の全ユーザーは、これらの問題を修正し、これらの機能強化を追加する、これらの更新されたパッケージにアップグレードすることが推奨されます。

遠端 MongoDB 伺服器的版本比 2.3.2 舊。因此可能受到資訊洩漏弱點影響。存在一個與處理長度不正確之 BSON (二進位 JavaScript 物件表示法) 物件相關的錯誤，其可能允許洩漏保留在記憶體中的資訊。

現已提供適用於 Red Hat Enterprise Linux 6 之 Red Hat Enterprise MRG 2.5 的更新版 Grid 元件套件，可修正兩個安全性問題、多個錯誤，並提供數個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise MRG (Messaging、Realtime 與 Grid) 是企業計算方面的新一代 IT 基礎結構。MRG 為企業客戶提供增進的效能、可靠性、互通性與更快的計算能力。

MRG Grid 利用其現有技術提供高傳輸率的計算能力，並可讓企業達成更高的尖峰計算容量，以及改進的基礎結構使用率，進而構建高效能格線。MRG Grid 提供工作佇列機制、排程原則與優先順序配置，另外還提供了資源監控與資源管理能力。使用者可將其工作提交至 MRG Grid，而工作會在此排入佇列。然後 MRG Grid 會選擇在何時及何處根據原則執行工作、謹慎監控其進度，並於工作最終完成時通知使用者。

在 MongoDB 處理 BSON 資料的方式中發現一個緩衝區過度讀取瑕疵。有權將 BSON 資料插入 MongoDB 伺服器的資料庫使用者可利用此瑕疵讀取伺服器記憶體，進而可能洩漏敏感資料。(CVE-2012-6619)

注意：此更新啟用 /etc/mongodb.conf 檔案中的 ‘--objcheck’ 選項，藉此解決 CVE-2012-6619。若您已編輯該檔案，更新版會存為 /etc/mongodb.conf.rpmnew，所以必須將變更手動併入 /etc/mongodb.conf 中。

據發現，MRG 管理主控台 (cumin) 使用 crypt(3) DES 式雜湊函式來雜湊密碼。DES 型雜湊中有已知弱點，會讓攻擊者從雜湊還原純文字密碼。能夠入侵 cumin 使用者資料庫的攻擊者可能利用此瑕疵，從該資料庫中儲存的密碼雜湊復原純文字密碼。(CVE-2013-6445)

注意：在使用者帳戶資訊儲存在 cumin 所管理之資料庫中的部署中，建議使用者在套用此更新之後變更其密碼。

CVE-2013-6445 問題是由 Red Hat MRG Quality Engineering 團隊的 Tomáš Nováčik 所發現。

Red Hat Enterprise Linux 6 的這些更新版套件亦針對 Red Hat Enterprise MRG 的 Grid 元件提供數個錯誤修正與增強功能。因空間所限，無法在此公告中記錄所有這些變更。請參閱 Red Hat Enterprise MRG 2 技術提示文件，您近期將可從〈參照〉一節中的連結取得這些變更的資訊。

建議 Red Hat Enterprise MRG 之 Grid 功能的所有使用者皆升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

远程 MongoDB 服务器的版本为低于 2.3.2 的版本。因此，它可能会受到信息泄露漏洞的影响。存在与处理拥有不正确长度的 BSON（二进制 JavaScript 对象表示法）对象相关的错误，可能允许泄露内存中保存的信息。

更新后的 Grid 组件程序包修复了两个安全问题和若干缺陷，并提供了多种增强功能，现在可用于 Red Hat Enterprise Linux 6 的 Red Hat Enterprise MRG 2.5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise MRG（Messaging、Realtime 和 Grid）是用于企业计算的下一代 IT 基础架构。MRG 为企业客户提供更高的性能、可靠性和互操作性以及更快的计算速度。

MRG 网格提供高吞吐量计算，使企业可通过利用其现有技术构建高性能网格，从而实现更高的峰值计算能力和改进的基础架构使用率。MRG 网格提供作业排队机制、计划策略和优先级方案以及资源监控和资源管理。用户将其作业提交给 MRG 网格，并于此处将作业放入队列中。然后，MRG 网格根据策略选择运行此作业的时间和地点、精心监控作业的进度并在最终完成后通知用户。

在 MongoDB 处理 BSON 数据的方式中发现缓冲区读取越界缺陷。被允许将 BSON 数据插入 MongoDB 服务器的数据库用户可利用此缺陷读取服务器内存，从而可能泄露敏感数据。(CVE-2012-6619)

注意：此更新通过启用 /etc/mongodb.conf 文件中的“--objcheck”选项，解决了 CVE-2012-6619。如果您编辑了此文件，则更新后的版本将存储为 /etc/mongodb.conf.rpmnew，并且您需要手动将更改合并到 /etc/mongodb.conf 中。

已发现 MRG 管理控制台 (cumin) 使用 crypt(3) 基于 DES 的哈希函数对密码执行哈希操作。基于 DES 的哈希具有已知漏洞，允许攻击者从哈希恢复明文密码。可以危及 cumin 用户数据库的攻击者可能利用此缺陷恢复该数据库中存储的密码哈希内的明文密码。(CVE-2013-6445)

注意：对于将用户帐户信息存储在由 cumin 管理的数据库中的部署，建议用户在应用此更新之后更改自己的密码。

CVE-2013-6445 问题由 Red Hat MRG 质量工程团队的 Tomáš Nováčik 发现。

针对 Red Hat Enterprise Linux 6 更新的这些程序包还为 Red Hat Enterprise MRG 的 Grid 组件提供大量缺陷补丁和增强。空间有限，无法在此公告中记载所有这些更改。请参阅很快便可通过“参考”部分中链接的 Red Hat Enterprise MRG 2 技术札记文档了解关于这些更改的信息。

建议 Red Hat Enterprise MRG Grid 功能的所有用户升级到这些更新后的程序包，其中修正了这些问题并添加这些增强。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:0230 公告中提及的漏洞的影响。

    MongoDB 是一款 NoSQL 数据库。

    在 MongoDB 处理 BSON 数据的方式中发现缓冲区读取越界缺陷。
    被允许将 BSON 数据插入 MongoDB 服务器的数据库用户可利用此缺陷读取服务器内存，从而可能泄露敏感数据。
    (CVE-2012-6619)

    建议所有 mongodb 用户升级到这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 6 主機已安裝受到一個弱點影響的套件，如 RHSA-2014:0230 公告中所提及。

    MongoDB 是一種 NoSQL 資料庫。

    在 MongoDB 處理 BSON 資料的方式中發現一個緩衝區過度讀取瑕疵。
    有權將 BSON 資料插入 MongoDB 伺服器的資料庫使用者可利用此瑕疵讀取伺服器記憶體，進而可能洩漏敏感資料。
    (CVE-2012-6619)

    建議所有 mongodb 使用者升級至這些更新版套件，其中包含可更正此問題的反向移植修補程式。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
72334	MongoDB < 2.3.2 BSON Object Length Handling Memory Disclosure	Nessus	Databases	2014/2/5	2022/4/11	medium
76675	RHEL 6 : MRG (RHSA-2014:0440)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
210228	RHEL 6 : mongodb (RHSA-2014:0230)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	medium
210228	RHEL 6 : mongodb (RHSA-2014:0230)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	medium
72334	MongoDB < 2.3.2 BSON オブジェクトの長さの処理でのメモリ漏洩	Nessus	Databases	2014/2/5	2022/4/11	medium
76675	RHEL 6：MRG（RHSA-2014:0440）	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
72334	MongoDB < 2.3.2 BSON 物件長度處理記憶體洩漏	Nessus	Databases	2014/2/5	2022/4/11	medium
76675	RHEL 6：MRG (RHSA-2014:0440)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
72334	MongoDB < 2.3.2 BSON 对象长度处理内存泄露	Nessus	Databases	2014/2/5	2022/4/11	medium
76675	RHEL 6：MRG (RHSA-2014:0440)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	medium
210228	RHEL 6：mongodb (RHSA-2014:0230)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	medium
210228	RHEL 6：mongodb (RHSA-2014:0230)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium