RHEL 7：ipa (RHSA-2015:0442)
medium Nessus 插件 ID 81638
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
更新后的 ipa 程序包修复了两个安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
Red Hat 身份管理 (IdM) 是一种集中式的认证、身份管理和授权解决方案，同时适用传统企业环境和基于云的企业环境。
在 jQuery 中发现两个跨站脚本 (XSS) 缺陷，可能影响身份管理 Web 管理界面，并可允许经认证的用户向界面中注入任意 HTML 或 Web 脚本。（CVE-2010-5312、CVE-2012-6662）
注意：此更新提供的 IdM 版本不再使用 jQuery。
此更新添加了几项增强， Red Hat Enterprise Linux 7.1 的发行说明中对此有更详细的描述，具体可见“参考”部分中提供的链接，包括：
* 添加了“ipa-cacert-manage”命令，此命令会更新证书颁发机构 (CA) 文件。(BZ#886645)
* 添加了 ID 查看功能。(BZ#891984)
* IdM 现在支持使用一次性密码 (OTP) 认证，并允许从专有的 OTP 解决方案逐渐迁移到 IdM OTP 解决方案。(BZ#919228)
* 添加了“ipa-backup”和“ipa-restore”命令，以允许手动备份。(BZ#951581)
* 添加了解决方案用于管理对 IdM 服务器的特定部分的访问权限。(BZ#976382)
此更新还修复了多个缺陷，包括：
* 以前，将 IdM 服务器配置为在 httpd 服务器中需要传输层安全协议版本 1.1 (TLSv1.1) 或更高版本时，“ipa”命令行实用工具会失败。通过此更新，以 TLSv1.1 或更高版本运行“ipa”将按预期工作。
(BZ#1156466)
此外，此更新还添加了多项增强，包括：
* “ipa-getkeytab”实用工具现在可选择从 KDC 获取现有 keytab。之前，不支持检索现有 keytab，唯一的选择是生成新的密钥。
(BZ#1007367)
* 您现在可以在 IdM 服务器上创建并管理“.”根区域。发送至 IdM DNS 服务器的 DNS 查询使用此配置的区域，而不是公共区域。(BZ#1056202)
* IdM 服务器 Web UI 已更新，现在基于 Patternfly 框架，可提供更好的响应性。(BZ#1108212)
* 新用户属性现在启用了配置系统，从而可为用户对象添加自定义标签。此标签可用于 automember 规则或用于附加的本地解释。(BZ#1108229)
* 此更新添加了新的 DNS 区域类型，以确保转发和主控区域能够更好地分离。因此，IdM DNS 界面遵守 BIND 中的转发区域语义。(BZ#1114013)
* 此更新添加了一组 Apache 模块，外部应用程序可使用这些模块实现与 IdM 更为紧密的交互，而不仅仅是简单的认证。(BZ#1107555)
* IdM 支持依据其特性（例如“userClass”或“departmentNumber”属性）为各组中自动分配的用户或主机配置 automember 规则。之前，规则只能应用到新条目。此更新也允许将规则应用到现有用户或主机。(BZ#1108226)
* extdom 插件将 Active Directory (AD) 用户和群组的安全标识符 (SID) 转换为名称和 POSIX ID。通过此更新， extdom 将返回群组的完整成员列表和用户的完整群组成员关系列表、GECOS 字段、主目录以及用户的登录 shell。同样的，如果 SID 可用，还将返回包含请求对象的 SID 的键值对的可选列表。(BZ#1030699)
建议所有 ipa 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序并添加这些增强。
解决方案
更新受影响的数据包。另见
http://www.nessus.org/u?3395ff0b
https://access.redhat.com/errata/RHSA-2015:0442
插件详情
严重性: Medium
ID: 81638
文件名: redhat-RHSA-2015-0442.nasl
版本: 1.12
类型: local
代理: unix
发布时间: 2015/3/5
最近更新时间: 2019/10/24
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Low
分数: 3.8
CVSS v2
风险因素: Medium
基本分数: 4.3
时间分数: 3.2
矢量: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:ipa-admintools, p-cpe:/a:redhat:enterprise_linux:ipa-client, p-cpe:/a:redhat:enterprise_linux:ipa-debuginfo, p-cpe:/a:redhat:enterprise_linux:ipa-python, p-cpe:/a:redhat:enterprise_linux:ipa-server, p-cpe:/a:redhat:enterprise_linux:ipa-server-trust-ad, cpe:/o:redhat:enterprise_linux:7, cpe:/o:redhat:enterprise_linux:7.3, cpe:/o:redhat:enterprise_linux:7.4, cpe:/o:redhat:enterprise_linux:7.5, cpe:/o:redhat:enterprise_linux:7.6, cpe:/o:redhat:enterprise_linux:7.7
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2015/3/5
漏洞发布日期: 2014/11/24
参考资料信息
CVE: CVE-2010-5312, CVE-2012-6662
RHSA: 2015:0442