RHEL 6：Subscription Asset Manager (RHSA-2014:1863)
medium Nessus 插件 ID 79326
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
更新后的 Subscription Asset Manager 1.4 程序包修复了多个安全问题，现在可用。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
Red Hat Subscription Asset Manager 是在客户端计算机上处理订阅信息和软件更新的代理。Red Hat Subscription Asset Manager 基于 Ruby on Rails（适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架）构建。
Action Pack 实现控制器和视图组件。
在 Ruby on Rails 通过隐式渲染处理路由中的通配符段的方式中发现一个目录遍历缺陷。远程攻击者可利用此缺陷，通过特别构建的请求使用上述路由，检索 Ruby on Rails 应用程序可访问的任意本地文件。(CVE-2014-0130)
在 Ruby on Rails 处理某些查询中的哈希的方式中发现了一个缺陷。远程攻击者可利用此缺陷，通过发送特别构建的查询执行拒绝服务（资源消耗）攻击，从而导致创建 Ruby 符号（从不对此类符号执行垃圾回收）。(CVE-2013-1854)
在 Action Pack 中发现了两个跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷针对使用 Action Pack 的应用程序的用户发起 XSS 攻击。（CVE-2013-1855、CVE-2013-1857）
已发现在某些情况下，Ruby on Rails 的国际化组件可返回回退 HTML 字符串（其中包含用户输入）。远程攻击者可能利用此缺陷，通过为使用上述组件的应用程序提供特别构建的输入，执行反射型跨站脚本 (XSS) 攻击。(CVE-2013-4491)
在 Action View 的标头处理组件中发现一个拒绝服务缺陷。远程攻击者可通过特别构建且无限缓存的标头发送字符串，从而导致最终消耗所有可用系统内存。(CVE-2013-6414)
已发现 number_to_currency Action View 辅助函数未正确转义单位参数。攻击者可利用此缺陷，对在单位参数中使用用户提交的数据的应用程序执行跨站脚本 (XSS) 攻击。(CVE-2013-6415)
Red Hat 在此感谢 Ruby on Rails 上游报告这些问题。上游感谢 CVE-2013-1854 的原始报告者 Ben Murphy，CVE-2013-1855 的原始报告者 Charlie Somerville，CVE-2013-1857 的原始报告者 Alan Jenkins，CVE-2013-4491 的原始报告者 Peter McLarnan，CVE-2013-6414 的原始报告者 Toby Hsieh，以及 CVE-2013-6415 的原始报告者 Ankit Gupta。
建议所有 Subscription Asset Manager 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。
解决方案
更新受影响的数据包。另见
https://access.redhat.com/errata/RHSA-2014:1863
https://access.redhat.com/security/cve/cve-2013-1854
https://access.redhat.com/security/cve/cve-2013-1855
https://access.redhat.com/security/cve/cve-2013-1857
https://access.redhat.com/security/cve/cve-2013-6414
https://access.redhat.com/security/cve/cve-2013-6415
插件详情
严重性: Medium
ID: 79326
文件名: redhat-RHSA-2014-1863.nasl
版本: 1.14
类型: local
代理: unix
发布时间: 2014/11/19
最近更新时间: 2022/3/28
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.9
CVSS v2
风险因素: Medium
基本分数: 4.3
时间分数: 3.7
矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N
CVSS 分数来源: CVE-2014-0130
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:katello-common, p-cpe:/a:redhat:enterprise_linux:katello-glue-candlepin, p-cpe:/a:redhat:enterprise_linux:katello-glue-elasticsearch, p-cpe:/a:redhat:enterprise_linux:katello-headpin, p-cpe:/a:redhat:enterprise_linux:katello-headpin-all, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-actionmailer, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-actionpack, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-activemodel, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-activerecord, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-activeresource, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-activesupport, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-i18n, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-mail, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-rack, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-rails, p-cpe:/a:redhat:enterprise_linux:ruby193-rubygem-railties, cpe:/o:redhat:enterprise_linux:6
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可利用: true
易利用性: Exploits are available
补丁发布日期: 2014/11/17
漏洞发布日期: 2013/3/19
CISA 已知可遭利用的漏洞到期日期: 2022/4/15
参考资料信息
CVE: CVE-2013-1854, CVE-2013-1855, CVE-2013-1857, CVE-2013-4491, CVE-2013-6414, CVE-2013-6415, CVE-2014-0130
RHSA: 2014:1863