描述
更新后的 rhev-hypervisor6 程序包修复了多个安全问题,现在可用。
Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数,其给出了详细的严重性等级。
rhev-hypervisor6 程序包提供 Red Hat Enterprise Virtualization 管理程序 ISO 磁盘镜像。Red Hat Enterprise Virtualization 管理程序是专用的基于内核的虚拟机 (KVM) 管理程序。它包括运行和管理虚拟机所需的全部内容:Red Hat Enterprise Linux 操作环境的子集和 Red Hat Enterprise Virtualization 代理。
注意:Red Hat Enterprise Virtualization 管理程序仅适用于含虚拟化扩展的 Intel 64 和 AMD64 架构。
升级说明:如果通过 3.3 Manager 管理门户将 Red Hat Enterprise Virtualization Hypervisor 6.4 升级到版本 6.5,之前系统的配置在 TUI 中报告时似乎丢失。但这是 TUI 本身的问题,而不是升级过程中的问题;系统的配置不受影响。
在 NSS 处理无效握手数据包的方式中发现一个缺陷。远程攻击者可利用此缺陷导致使用 NSS 的 TLS/SSL 客户端崩溃,或者可能以运行该应用程序的用户的权限执行任意代码。(CVE-2013-5605)
当启用 TLS 协议版本 1.2 时,在 OpenSSL 确定要使用哪个哈希算法的方式中发现一个缺陷。这可能导致 OpenSSL 使用不正确的哈希算法,从而引起使用该库的应用程序崩溃。(CVE-2013-6449)
在 OpenSSL 处理 TLS/SSL 协议握手数据包的方式中发现空指针取消引用缺陷。特别构建的握手数据包可导致使用 OpenSSL 的 TLS/SSL 客户端崩溃。
(CVE-2013-4353)
已发现 NSS 在启用 verifyLog 功能后验证证书时,不拒绝包含不兼容密钥使用限制的证书。使用 NSS 证书验证 API 的应用程序可能接受无效的证书。
(CVE-2013-5606)
Red Hat 在此感谢 Mozilla 项目报告 CVE-2013-5606。上游感谢 CVE-2013-5606 的原始报告者 Camilo Viecco。
此更新后的程序包提供更新后的组件,其中包括针对各种安全问题的补丁。但是,这些问题对 Red Hat Enterprise Virtualization 管理程序本身没有安全影响。可使用此更新中包含的安全补丁处理以下 CVE 编号:
CVE-2013-6462(libXfont 问题)
CVE-2013-6629 和 CVE-2013-6630(libjpeg-turbo 问题)
CVE-2013-1739、CVE-2013-1741 和 CVE-2013-5607(nss、nspr 问题)
CVE-2013-6450(openssl 问题)
CVE-2013-6425(pixman 问题)
建议 Red Hat Enterprise Virtualization 管理程序的用户升级此更新后的程序包,其中修正了这些问题。
解决方案
更新受影响的 rhev-hypervisor6 程序包。
插件详情
文件名: redhat-RHSA-2014-0041.nasl
代理: unix
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:rhev-hypervisor6, cpe:/o:redhat:enterprise_linux:6
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available