Red Hat OpenShift Enterprise 3.1.1 版现在连同程序包更新予以提供，可修复数个安全问题、错误并推出增强功能。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Red Hat 的 OpenShift Enterprise 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。此版本已解决下述安全问题：在 Kubernetes 中发现授权缺陷；处理特定请求时，API 服务器未正确检查用户权限。经验证的远程攻击者可利用此缺陷获得资源的其他访问权，例如 RAM 和磁盘空间。(CVE-2016-1905) 在 Kubernetes 中发现授权缺陷；处理特定生成配置策略时，API 服务器未正确检查用户权限。远程攻击者可使用违反原则的策略，创建生成配置。虽然攻击者无法自行启动生成（违反策略时启动失败），但如果之后其他具权限的服务（例如自动化触发）启动生成配置文件，则可绕过用户权限，进而允许攻击者提升权限。(CVE-2016-1906) Jenkins Continuous Integration Server 的更新可解决大量安全问题，包括 XSS、CSRF，信息泄露和代码执行也得到解决。(CVE-2013-2186, CVE-2014-1869, CVE-2014-3661, CVE-2014-3662 CVE-2014-3663, CVE-2014-3664, CVE-2014-3666, CVE-2014-3667 CVE-2014-3680, CVE-2014-3681, CVE-2015-1806, CVE-2015-1807 CVE-2015-1808, CVE-2015-1810, CVE-2015-1812, CVE-2015-1813 CVE-2015-1814, CVE-2015-5317, CVE-2015-5318, CVE-2015-5319 CVE-2015-5320, CVE-2015-5321, CVE-2015-5322, CVE-2015-5323 CVE-2015-5324, CVE-2015-5325, CVE-2015-5326 ,CVE-2015-7537 CVE-2015-7538, CVE-2015-7539, CVE-2015-8103) 因空间所限，无法在此公告中记录所有缺陷修复与增强功能。如需有关这些变更的详细信息，请参阅 OpenShift Enterprise 3.1 版本说明，这项信息不久将在 3.1.1 版中更新：https://docs.openshift.com/enterprise/3.1/release_notes/ ose_3_1_release_notes.html 建议所有 OpenShift Enterprise 3 用户升级到这些更新版程序包。

针对 CVE-2015-1806、CVE-2015-1807、CVE-2015-1813、CVE-2015-1812、CVE-2015-1810、CVE-2015-1808、CVE-2015-1809、CVE-2015-1814、CVE-2015-1811 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Red Hat OpenShift Enterprise 2.2.7 版现在连同程序包更新予以提供，可修复数个错误并推出增强功能。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Red Hat 的 OpenShift Enterprise 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。因篇幅所限，无法在此公告中记载所有缺陷修复。如需有关这些变更的详细信息，请参阅 OpenShift Enterprise 技术札记，这项信息不久将在 2.2.7 版中更新。此版本已解决下述安全问题：在 Jenkins API 令牌发放服务中发现缺陷。此服务无法正确保护匿名用户，可能允许远程攻击者提升权限。(CVE-2015-1814) 发现组合筛选 Groovy 脚本可能允许远程攻击者在 Jenkins 主机上执行任意代码。(CVE-2015-1806) 发现在生成项目时，Jenkins 服务器将遵循符号链接，进而可能导致服务器上的信息泄露。(CVE-2015-1807) Jenkins 处理特定更新中心数据的方式中发现拒绝服务缺陷。经验证的用户可向 Jenkins 提供特制的更新中心数据，进而造成插件和工具安装运行不正常。(CVE-2015-1808) 发现 Jenkins 的 XPath 处理允许 XML 外部实体 (XXE) 扩展。拥有读取访问权的远程攻击者可利用此缺陷读取 Jenkins 服务器上的任意 XML 文件。(CVE-2015-1809) 发现内部 Jenkins 用户数据库未限制访问保留的名称，进而允许用户提升权限。(CVE-2015-1810) 发现 Jenkins 的 XML 处理允许 XML 外部实体 (XXE) 扩展。能够将 XML 数据传递到 Jenkins 的远程攻击者可利用此缺陷读取 Jenkins 服务器上的任意 XML 文件。(CVE-2015-1811) 在 Jenkins 中发现两个跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷，针对使用 Jenkins 的应用程序用户，进行 XSS 攻击。(CVE-2015-1812, CVE-2015-1813) https://access.redhat.com/documentation/en-US/OpenShift_Enterprise/2/ html-single/Technical_Notes/index.html 建议所有 OpenShift Enterprise 2 用户升级到这些更新版程序包。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
119442	RHEL 7 : openshift (RHSA-2016:0070)	Nessus	Red Hat Local Security Checks	2018/12/6	2023/5/14	critical
82875	Fedora 21：jenkins-1.590-3.fc21 (2015-5466)	Nessus	Fedora Local Security Checks	2015/4/20	2021/1/11	high
119363	RHEL 6：Red Hat OpenShift Enterprise 2.2.7 (RHSA-2015:1844)	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	high
82956	Fedora 22：jenkins-1.606-1.fc22 / jenkins-executable-war-1.29-4.fc22 / jffi-1.2.7-5.fc22 (2015-5430)	Nessus	Fedora Local Security Checks	2015/4/22	2021/1/11	high

检测

插件搜索

critical

high

high

high