更新后的 Grid 组件程序包修复了多种安全问题，现在可用于 Red Hat Enterprise MRG 2.4 for Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

[2013 年 12 月 17 日更新] 此勘误表之前错误地列出由此更新解决的 RubyGems 问题 CVE-2012-2125、CVE-2012-2126 和 CVE-2013-4287。但是，rubygems 组件未随附为 Red Hat Enterprise MRG 2.4 for Red Hat Enterprise Linux 5 的一部分，而是仅随附为 Red Hat Enterprise MRG 2.4 for Red Hat Enterprise Linux 6 的一部分。此问题在该处通过 RHSA-2013:1852 得到修正。

Red Hat Enterprise MRG（Messaging、Realtime 和 Grid）是用于企业计算的下一代 IT 基础架构。MRG 为企业客户提供更高的性能、可靠性和互操作性以及更快的计算速度。

MRG 网格提供高吞吐量计算，使企业可通过利用其现有技术构建高性能网格，从而实现更高的峰值计算能力和改进的基础架构使用率。MRG 网格提供作业排队机制、计划策略和优先级方案以及资源监控和资源管理。用户将其作业提交给 MRG 网格，并于此处将作业放入队列中。然后，MRG 网格根据策略选择运行此作业的时间和地点、精心监控作业的进度并在最终完成后通知用户。

在 cumin 强制使用用户角色的方式中发现缺陷，该缺陷允许非特权 cumin 用户在不具有相应角色的情况下访问各种资源。远程认证攻击者可以利用此缺陷访问特权信息并执行各种特权操作。(CVE-2013-4404)

已发现 cumin Web 界面中的多个表单未对跨站请求伪造 (CSRF) 攻击进行保护。如果远程攻击者可以欺骗登录到 cumin Web 界面的用户，使其访问特别构建的 URL，攻击者就能够在登录用户的上下文中执行操作。(CVE-2013-4405)

已发现 cumin 未正确转义来自 cumin Web 界面的“Set limit”表单的“Max allowance”字段中的输入。远程攻击者可利用此缺陷，通过欺骗受害者访问特别构建的 URL 对其发动跨站脚本 (XSS) 攻击。(CVE-2013-4414)

在 cumin 解析 POST 请求数据的方式中发现一个缺陷。远程攻击者可能利用此缺陷对 cumin 的数据库发动 SQL 注入攻击。(CVE-2013-4461)

Red Hat MRG 质量工程团队的 Tomáš Nováčik 发现了 CVE-2013-4404、CVE-2013-4405、CVE-2013-4414 和 CVE-2013-4461 问题。

建议所有 Red Hat Enterprise MRG 的 Grid 功能用户升级此更新后的程序包，其中修正了这些问题。

检测

RHEL 5：MRG (RHSA-2013:1851)

high Nessus 插件 ID 76670

未找到变更日志