更新后的 rhevm-dwh 程序包修复了一个安全问题和两个缺陷，现在可用。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 数据仓库程序包提供 Extract-Transform-Load (ETL) 进程和数据库脚本来创建历史数据库 API。它还为管理和监控提供 SQL BI 报告创建功能。

已发现 ovirt-engine-dwh 设置脚本将历史数据库密码以明文记录到全局可读文件中。在 Red Hat Enterprise Virtualization Manager 服务器上具有本地用户帐户的攻击者可利用此缺陷访问、读取和修改报告数据库。(CVE-2014-0202)

注意：应用此公告提供的更新不会修改任何现有日志文件。建议搜索现有日志文件并手动删除所有出现的明文密码。

此问题由 Red Hat 发现。

此更新还修复以下缺陷：

* 以前，数据仓库数据库的只读用户和自定义用户在数据库升级时会失去对数据库中视图的访问权限。其原因是数据库升级时会重新生成视图，而且这些视图的权限不会应用到新生成的视图。现在，数据库升级时会保留用户权限。(BZ#1078129)

* 以前，如果 pg_hba.conf 文件在运行 ovirt-engine-dwh-setup 命令之前已经过手动编辑，该命令在某些情况下会失败。其原因是设置进程会检查“local”对应行中各值之间的准确空格数。现在，检查该行中各值的逻辑已修订，无论有多少空格，设置进程都可正确读取所有值。(BZ#1084760)

建议所有 rhevm-dwh 用户升级此更新后的程序包，其中修正了这些问题。

检测

RHEL 6：rhevm-dwh 3.3.3 (RHSA-2014:0559)

low Nessus 插件 ID 79023

未找到变更日志