An updated rhevm-dwh package that fixes one security issue and two bugs is now available.

The Red Hat Security Response Team has rated this update as having Low security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

The Red Hat Enterprise Virtualization Manager data warehouse package provides the Extract-Transform-Load (ETL) process and database scripts to create a historic database API. It also provides SQL BI reports creation for management and monitoring.

It was found that the ovirt-engine-dwh setup script logged the history database password in plain text to a world-readable file. An attacker with a local user account on the Red Hat Enterprise Virtualization Manager server could use this flaw to access, read, and modify the reports database. (CVE-2014-0202)

Note: Applying the update provided by this advisory does not modify any existing log files. It is recommended that you search your existing log files and remove any occurrences of plain text passwords manually.

This issue was discovered by Red Hat.

This update also fixes the following bugs :

* Previously, the read-only user and custom users for the data warehouse database would lose access to views in the database when the database was upgraded. This was caused by the views being regenerated when the database was upgraded and the permissions for those views not being applied to the newly generated views. Now, user permissions are retained when the database is upgraded. (BZ#1078129)

* Previously, the ovirt-engine-dwh-setup command would fail under certain conditions if the pg_hba.conf file had been manually edited prior to running that command. This was caused by the setup process checking the exact number of spaces in between values on the line corresponding to 'local'. Now, the logic for checking the values in that line has been revised so that the setup process can correctly read all values regardless of the number of spaces. (BZ#1084760)

All rhevm-dwh users are advised to upgrade to this updated package, which corrects these issues.

1 つのセキュリティ問題と 2 つのバグを修正する更新済みの rhev-dwh パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Enterprise Virtualization Manager のデータウェアハウスパッケージは、Extract-Transform-Load（ETL）プロセスやデータベーススクリプトを提供して、履歴データベース API を作成します。さらに、管理およびモニタリング用に SQL BI レポートも作成します。

ovirt-engine-dwh セットアップスクリプトが、履歴データベースのパスワードを、平文で誰でも読み取ることができるファイルに記録することが判明しました。Red Hat Enterprise Virtualization Manager サーバーにおいてローカルユーザーのアカウントを持つ攻撃者が、この欠陥を利用して、レポートデータベースにアクセスすることや、このデータベースの読み込み、変更を行う可能性があります。（CVE-2014-0202）

注：このアドバイザリが提供する更新を適用しても、既存のログファイルは変更されません。既存のログファイルを検索し、平文パスワードの出現を手動で削除することを推奨します。

この問題は、Red Hat により発見されました。

この更新は以下のバグも修正します：

* 以前は、データウェアハウスの読み取り専用ユーザーおよびカスタムユーザーは、データベースが更新されると、データベースのビューにアクセスできませんでした。これは、データベース更新の際にビューが再生成され、このようなビューに対する権限が、新しく生成されたビューに適用されないことが原因でした。現在は、データベースの更新時に、ユーザー権限が保持されます。（BZ#1078129）

* 以前は、ovirt-engine-dwh-setup コマンドの実行前に手動で pb_hba.conf ファイルを編集すると、特定の状況下において、このコマンドが正常に実行されませんでした。これは、「local」に対応する行で、値の間にある正確なスペース数をチェックするセットアッププロセスが原因でした。現在は、この行の値をチェックするロジックが改善されて、スペースの数に関係なく、セットアッププロセスが全ての値を正しく読み取れるようになりました。（BZ#1084760）

rhevm-dwh の全ユーザーは、この更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

現已提供更新版 rhevm-dwh 套件，可修正一個安全性問題和兩個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Enterprise Virtualization Manager 資料倉儲套件提供了 Extract-Transform-Load (ETL) 處理程序和資料庫指令碼，以建立歷程記錄資料庫 API。它也為管理及監控提供了 SQL BI 報告建立。

據發現，ovirt-engine-dwh 設定指令碼會在任何人皆可讀取的檔案中，以純文字記錄歷程記錄資料庫的密碼。在 Red Hat Enterprise Virtualization Manager 伺服器上具有本機使用者帳戶的攻擊者可利用此瑕疵，存取、讀取和修改報告資料庫。(CVE-2014-0202)

注意：套用此公告提供的更新並不會使任何現有的記錄檔遭到修改。建議您手動搜尋現有的記錄檔，並將出現的所有純文字密碼移除。

此問題是由 Red Hat 所發現。

此更新也可修正下列錯誤：

* 之前，資料倉儲資料庫的唯讀使用者和自訂使用者會在升級資料庫時，遺失對資料庫中檢視的存取權。這是由升級資料庫時重新產生檢視，而這些檢視的權限未套用至新產生的檢視所導致。現在，當升級資料庫時，會保留使用者權限。(BZ#1078129)

* 之前，如果在執行 ovirt-engine-dwh-setup 命令之前已手動編輯 pg_hba.conf 檔案，該命令在某些情況下會失敗。這是由檢查與 'local' 對應之行上值之間準確空格數的設定程序所導致。現在，檢查該行中值的邏輯已經修訂，使設定程序可正確讀取所有值，而不管空格數為何。(BZ#1084760)

建議所有 rhevm-dwh 使用者皆升級至此更新版套件，其可更正這些問題。

更新后的 rhevm-dwh 程序包修复了一个安全问题和两个缺陷，现在可用。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 数据仓库程序包提供 Extract-Transform-Load (ETL) 进程和数据库脚本来创建历史数据库 API。它还为管理和监控提供 SQL BI 报告创建功能。

已发现 ovirt-engine-dwh 设置脚本将历史数据库密码以明文记录到全局可读文件中。在 Red Hat Enterprise Virtualization Manager 服务器上具有本地用户帐户的攻击者可利用此缺陷访问、读取和修改报告数据库。(CVE-2014-0202)

注意：应用此公告提供的更新不会修改任何现有日志文件。建议搜索现有日志文件并手动删除所有出现的明文密码。

此问题由 Red Hat 发现。

此更新还修复以下缺陷：

* 以前，数据仓库数据库的只读用户和自定义用户在数据库升级时会失去对数据库中视图的访问权限。其原因是数据库升级时会重新生成视图，而且这些视图的权限不会应用到新生成的视图。现在，数据库升级时会保留用户权限。(BZ#1078129)

* 以前，如果 pg_hba.conf 文件在运行 ovirt-engine-dwh-setup 命令之前已经过手动编辑，该命令在某些情况下会失败。其原因是设置进程会检查“local”对应行中各值之间的准确空格数。现在，检查该行中各值的逻辑已修订，无论有多少空格，设置进程都可正确读取所有值。(BZ#1084760)

建议所有 rhevm-dwh 用户升级此更新后的程序包，其中修正了这些问题。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79023	RHEL 6 : rhevm-dwh 3.3.3 (RHSA-2014:0559)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	low
79023	RHEL 6：rhevm-dwh 3.3.3（RHSA-2014:0559）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	low
79023	RHEL 6：rhevm-dwh 3.3.3 (RHSA-2014:0559)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	low
79023	RHEL 6：rhevm-dwh 3.3.3 (RHSA-2014:0559)	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	low

检测

插件搜索

low

low

low

low