更新后的 rhevm-spice-client 程序包修复了多个安全问题和缺陷并添加了一项增强，现在可用于 Red Hat Enterprise Virtualization Manager 3。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 提供对使用 SPICE 的虚拟机的访问权限。这些 SPICE 客户端程序包为 Windows 32 位操作系统和 Windows 64 位操作系统提供 SPICE 客户端和 usbclerk 服务。

此更新添加了对 TLS 回退信号加密套件值 (TLS_FALLBACK_SCSV) 的支持，在初始连接表明支持的最高协议版本失败时，可使用该支持防止针对使用更低的 SSL/TLS 协议版本进行重新连接的应用程序发动协议降级攻击。

这样可防止将通信强制降级为 SSL 3.0。
已发现使用密码块链接 (CBC) 模式中的块密码套件时， SSL 3.0 协议容易遭受 padding oracle 攻击。此问题识别为 CVE-2014-3566，别名也称为 POODLE。此后的更新中不会处理该 SSL 3.0 协议缺陷；建议用户将其应用程序配置为至少需要 TLS 协议版本 1.0，以保证通信安全。

有关此缺陷的更多信息，请参阅知识库文章，网址是：https://access.redhat.com/articles/1232123

在 JasPer 解码 JPEG 2000 图像文件的方式中发现多个缺陷。特别构建的文件可导致使用 JasPer 的应用程序崩溃或执行任意代码。（CVE-2014-8138、CVE-2014-8157、CVE-2014-8158、CVE-2014-9029、CVE-2014-8137、CVE-2011-4516、CVE-2011-4517、CVE-2008-3520、CVE-2008-3522）

Red Hat 在此感谢 oCERT 报告 CVE-2014-8137、CVE-2014-8138、CVE-2014-8157、CVE-2014-8158、CVE-2014-9029、CVE-2011-4516 和 CVE-2011-4517。oCERT 感谢 CVE-2014-8137 和 CVE-2014-8138 的原始报告者 Google 安全团队的 Jose Duart；以及 CVE-2014-8157 和 CVE-2014-8158 的原始报告者 pyddeh。

mingw-openssl 和 mingw-jasper 程序包已升级到最新上游版本，其提供了对之前版本的多项缺陷补丁和增强。(BZ#1187585)

此更新还修复以下缺陷：

* 以前，未正确安装工具的客户机系统始终以全屏模式启动，即使在控制台选项中未选中“以全屏打开”选项时也如此。现在，在未选中该选项的情况下以窗口模式进行连接时，客户机系统按预期在窗口中启动。(BZ#1172126)

* 在此更新之前，从上游构建 spice-gtk 时无法将图像从客户端复制并粘贴到客户机。现在，可以正常地复制并粘贴图像。(BZ#1187270)

此外，此更新还添加了以下增强：

* 管理员现在可以选择将 virt-viewer 自动多用户安装到许多客户端工作站上。
(BZ#1187272)

建议所有 rhevm-spice-client 用户升级这些更新后的程序包，其中修正了这些问题并添加这些增强。

检测

RHEL 6：rhevm-spice-client (RHSA-2015:0698) (POODLE)

low Nessus 插件 ID 81969

未找到变更日志