Scientific Linux defines additional security enhancements for OpenGroup Pegasus WBEM services in addition to those defined by the upstream OpenGroup Pegasus release.

After re-basing to version 2.7.0 of the OpenGroup Pegasus code, these additional security enhancements were no longer being applied. As a consequence, access to OpenPegasus WBEM services was not restricted to the dedicated users. An attacker able to authenticate using a valid user account could use this flaw to send requests to WBEM services.
(CVE-2008-4313)

Note: default SELinux policy prevents tog-pegasus from modifying system files. This flaw's impact depends on whether or not tog-pegasus is confined by SELinux, and on any additional CMPI providers installed and enabled on a particular system.

Failed authentication attempts against the OpenPegasus CIM server were not logged to the system log. An attacker could use this flaw to perform password guessing attacks against a user account without leaving traces in the system log. (CVE-2008-4315)

Updated tog-pegasus packages that fix security issues are now available for Red Hat Enterprise Linux 5.

This update has been rated as having important security impact by the Red Hat Security Response Team.

The tog-pegasus packages provide OpenPegasus Web-Based Enterprise Management (WBEM) services. WBEM is a platform and resource independent Distributed Management Task Force (DMTF) standard that defines a common information model and communication protocol for monitoring and controlling resources.

Red Hat defines additional security enhancements for OpenGroup Pegasus WBEM services in addition to those defined by the upstream OpenGroup Pegasus release. For details regarding these enhancements, refer to the file 'README.RedHat.Security', included in the Red Hat tog-pegasus package.

After re-basing to version 2.7.0 of the OpenGroup Pegasus code, these additional security enhancements were no longer being applied. As a consequence, access to OpenPegasus WBEM services was not restricted to the dedicated users as described in README.RedHat.Security. An attacker able to authenticate using a valid user account could use this flaw to send requests to WBEM services. (CVE-2008-4313)

Note: default SELinux policy prevents tog-pegasus from modifying system files. This flaw's impact depends on whether or not tog-pegasus is confined by SELinux, and on any additional CMPI providers installed and enabled on a particular system.

Failed authentication attempts against the OpenPegasus CIM server were not logged to the system log as documented in README.RedHat.Security.
An attacker could use this flaw to perform password guessing attacks against a user account without leaving traces in the system log.
(CVE-2008-4315)

All tog-pegasus users are advised to upgrade to these updated packages, which contain patches to correct these issues.

Red Hat セキュリティアドバイザリ 2008:1001 から：

セキュリティ問題を修正する更新済みの tog-pegasus パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

tog-pegasus パッケージは OpenPegasus に Web-Based Enterprise Management（WBEM）サービスを提供します。WBEM は、リソースのモニタリングとコントロールを行う通信プロトコルと共通情報モデルを定義する、プラットフォームとリソース独立した Distributed Management Task Force（DMTF）標準です。

Red Hat は、上流 OpenGroupPegasus リリースが定義するセキュリティ強化に加えて、OpenGroup Pegasus WBEM サービスに対する追加のセキュリティ強化を定義します。これらの強化に関する詳細については、Red Hat tog-pegasus パッケージに付属の「README.RedHat.Security」ファイルを参照してください。

OpenGroup Pegasus コードのバージョン 2.7.0 へのリベース後は、これらの追加セキュリティ強化はもはや適用されませんでした。結果として、 OpenPegasus WBEM サービスへのアクセスは README.RedHat.Security で説明されているような専用ユーザーに制限されませんでした。有効なユーザーアカウントを使って認証できる攻撃者はこの欠陥を利用して、 WBEM サービスへリクエストを送信する場合があります。(CVE-2008-4313)

注：デフォルトの SELinux ポリシーでは、tog-pegasus がシステムファイルを修正するのを妨げます。この欠陥のインパクトは、tog-pegasus が SELinux により制限されているかどうか、また特定のシステムに追加 CMPI プロバイダーがインストールされ有効になっているかどうかによって異なります。

OpenPegasus CIM サーバーへの認証試行の失敗は、 README.RedHat.Security で文書化されているようにシステムログに記録されませんでした。
攻撃者は、この欠陥を利用して、システムログにトレースを残すことなくユーザーアカウントにパスワード推測攻撃をする可能性があります。
(CVE-2008-4315)

tog-pegasus のすべてのユーザーは、これらの問題を修正するパッチが含まれる更新済みパッケージへアップグレードすることが推奨されます。

Scientific Linuxt は、upstream の OpenGroupPegasus リリースが定義するセキュリティ強化に加えて、OpenGroup Pegasus WBEM サービスに対する追加のセキュリティ強化を定義しています。

OpenGroup Pegasus コードのバージョン 2.7.0 へのリベース後は、これらの追加セキュリティ強化はもはや適用されませんでした。その結果、OpenPegasus WBEM サービスへのアクセスが、専用ユーザーに制限されませんでした。有効なユーザーアカウントを使って認証できる攻撃者はこの欠陥を利用して、 WBEM サービスへリクエストを送信する場合があります。
（CVE-2008-4313）

注：デフォルトの SELinux ポリシーでは、tog-pegasus がシステムファイルを修正するのを妨げます。この欠陥のインパクトは、tog-pegasus が SELinux により制限されているかどうか、また特定のシステムに追加 CMPI プロバイダーがインストールされ有効になっているかどうかによって異なります。

OpenPegasus CIM サーバーに対する認証試行の失敗が、システムログに記録されませんでした。攻撃者は、この欠陥を利用して、システムログにトレースを残すことなくユーザーアカウントにパスワード推測攻撃をする可能性があります。（CVE-2008-4315）

From Red Hat Security Advisory 2008:1001 :

Updated tog-pegasus packages that fix security issues are now available for Red Hat Enterprise Linux 5.

This update has been rated as having important security impact by the Red Hat Security Response Team.

The tog-pegasus packages provide OpenPegasus Web-Based Enterprise Management (WBEM) services. WBEM is a platform and resource independent Distributed Management Task Force (DMTF) standard that defines a common information model and communication protocol for monitoring and controlling resources.

Red Hat defines additional security enhancements for OpenGroup Pegasus WBEM services in addition to those defined by the upstream OpenGroup Pegasus release. For details regarding these enhancements, refer to the file 'README.RedHat.Security', included in the Red Hat tog-pegasus package.

After re-basing to version 2.7.0 of the OpenGroup Pegasus code, these additional security enhancements were no longer being applied. As a consequence, access to OpenPegasus WBEM services was not restricted to the dedicated users as described in README.RedHat.Security. An attacker able to authenticate using a valid user account could use this flaw to send requests to WBEM services. (CVE-2008-4313)

Note: default SELinux policy prevents tog-pegasus from modifying system files. This flaw's impact depends on whether or not tog-pegasus is confined by SELinux, and on any additional CMPI providers installed and enabled on a particular system.

Failed authentication attempts against the OpenPegasus CIM server were not logged to the system log as documented in README.RedHat.Security.
An attacker could use this flaw to perform password guessing attacks against a user account without leaving traces in the system log.
(CVE-2008-4315)

All tog-pegasus users are advised to upgrade to these updated packages, which contain patches to correct these issues.

セキュリティ問題を修正する更新済みの tog-pegasus パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

tog-pegasus パッケージは OpenPegasus に Web-Based Enterprise Management（WBEM）サービスを提供します。WBEM は、リソースのモニタリングとコントロールを行う通信プロトコルと共通情報モデルを定義する、プラットフォームとリソース独立した Distributed Management Task Force（DMTF）標準です。

Red Hat は、上流 OpenGroupPegasus リリースが定義するセキュリティ強化に加えて、OpenGroup Pegasus WBEM サービスに対する追加のセキュリティ強化を定義します。これらの強化に関する詳細については、Red Hat tog-pegasus パッケージに付属の「README.RedHat.Security」ファイルを参照してください。

OpenGroup Pegasus コードのバージョン 2.7.0 へのリベース後は、これらの追加セキュリティ強化はもはや適用されませんでした。結果として、 OpenPegasus WBEM サービスへのアクセスは README.RedHat.Security で説明されているような専用ユーザーに制限されませんでした。有効なユーザーアカウントを使って認証できる攻撃者はこの欠陥を利用して、 WBEM サービスへリクエストを送信する場合があります。（CVE-2008-4313）

注：デフォルトの SELinux ポリシーでは、tog-pegasus がシステムファイルを修正するのを妨げます。この欠陥のインパクトは、tog-pegasus が SELinux により制限されているかどうか、また特定のシステムに追加 CMPI プロバイダーがインストールされ有効になっているかどうかによって異なります。

OpenPegasus CIM サーバーへの認証試行の失敗は、 README.RedHat.Security で文書化されているようにシステムログに記録されませんでした。
攻撃者は、この欠陥を利用して、システムログにトレースを残すことなくユーザーアカウントにパスワード推測攻撃をする可能性があります。
（CVE-2008-4315）

tog-pegasus のすべてのユーザーは、これらの問題を修正するパッチが含まれる更新済みパッケージへアップグレードすることが推奨されます。

来自 Red Hat 安全公告 2008:1001：

更新后的 tog-pegasus 程序包修复了一些安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。

tog-pegasus 程序包提供 OpenPegasus Web-Based Enterprise Management (WBEM) 服务。WBEM 是独立于平台和资源的 Distributed Management Task Force (DMTF) 标准，定义用于监控和控制资源的常用信息模型和通信协议。

除了由上游 OpenGroup Pegasus 发布定义的安全增强，Red Hat 还为 OpenGroup Pegasus WBEM 服务定义了额外安全增强。有关这些增强的详细信息，请参阅 Red Hat tog-pegasus 程序包中包含的“README.RedHat.Security”文件。

在重定 2.7.0 版本 OpenGroup Pegasus 代码的基底之后，不再应用这些额外安全增强。因此，对 OpenPegasus WBEM 服务的访问不会限制于 README.RedHat.Security 中所述的专用用户。能够使用有效用户帐户进行认证的攻击者可以使用此缺陷向 WBEM 服务发送请求。(CVE-2008-4313)

注意：默认 SELinux 策略阻止 tog-pegasus 修改系统文件。此缺陷的影响取决于 tog-pegasus 是否受到 SELinux 的限制，以及特定系统上已安装并启用的任何额外 CMPI 提供程序。

针对 OpenPegasus CIM 服务器的失败认证尝试不会像 README.RedHat.Security 中那样记录在系统日志中。
攻击者可利用此缺陷执行针对用户帐户的密码猜测攻击，而不会在系统日志中留下痕迹。
(CVE-2008-4315)

建议所有 tog-pegasus 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

除了上游 OpenGroup Pegasus 版本所定義的增強功能以外，Scientific Linux 還定義了 OpenGroup Pegasus WBEM 服務的其他安全性增強功能。

在將基礎重新定為 2.7.0 版的 OpenGroup Pegasus 程式碼之後，已不再套用這些其他的安全性增強功能。因此，對於 OpenPegasus WBEM 服務的存取不限於專門使用者。能夠使用有效使用者帳戶驗證的攻擊者可使用此瑕疵來將要求傳送至 WBEM 服務。
(CVE-2008-4313)

注意：預設 SELinux 原則會防止 tog-pegasus 修改系統檔案。此瑕疵的影響取決於 tog-pegasus 是否受 SELinux 限制，以及在特殊系統上安裝及啟用的其他任何 CMPI 提供者。

對於 OpenPegasus CIM 伺服器的驗證嘗試失敗未記錄到系統記錄檔。攻擊者可使用此瑕疵來對在系統記錄檔中沒有留下蹤跡的使用者帳戶執行密碼猜測攻擊。(CVE-2008-4315)

除了由上游 OpenGroup Pegasus 发布定义的安全增强，Scientific Linux 还为 OpenGroup Pegasus WBEM 服务定义了额外安全增强。

在重定 2.7.0 版本 OpenGroup Pegasus 代码的基底之后，不再应用这些额外安全增强。因此，对 OpenPegasus WBEM 服务的访问不会限制于专用用户。能够使用有效用户帐户进行认证的攻击者可以使用此缺陷向 WBEM 服务发送请求。
(CVE-2008-4313)

注意：默认 SELinux 策略阻止 tog-pegasus 修改系统文件。此缺陷的影响取决于 tog-pegasus 是否受到 SELinux 的限制，以及特定系统上已安装并启用的任何额外 CMPI 提供程序。

针对 OpenPegasus CIM 服务器的失败认证尝试没有记录在系统日志中。攻击者可利用此缺陷执行针对用户帐户的密码猜测攻击，而不会在系统日志中留下痕迹。(CVE-2008-4315)

來自 Red Hat 安全性公告 2008:1001：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 tog-pegasus 套件，可修正安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。

tog-pegasus 套件提供 OpenPegasus Web 式企業管理 (WBEM) 服務。WBEM 是一套獨立於平台與資源的分散式管理任務小組 (DMTF) 標準，其定義了用於監控及控制資源的共用資訊模型與通訊協定。

除了上游 OpenGroup Pegasus 版本所定義的增強功能以外，Red Hat 還定義了 OpenGroup Pegasus WBEM 服務的其他安全性增強功能。如需有關這些增強功能的詳細資訊，請參閱隨附於 Red Hat tog-pegasus 套件中的 'README.RedHat.Security' 檔案。

在將基礎重新定為 2.7.0 版的 OpenGroup Pegasus 程式碼之後，已不再套用這些其他的安全性增強功能。因此，對於 OpenPegasus WBEM 服務的存取並不如 README.RedHat.Security 所述限於專門使用者。能夠使用有效使用者帳戶驗證的攻擊者可使用此瑕疵來將要求傳送至 WBEM 服務。(CVE-2008-4313)

注意：預設 SELinux 原則會防止 tog-pegasus 修改系統檔案。此瑕疵的影響取決於 tog-pegasus 是否受 SELinux 限制，以及在特殊系統上安裝及啟用的其他任何 CMPI 提供者。

對於 OpenPegasus CIM 伺服器的驗證嘗試失敗並未如 README.RedHat.Security 所述記錄到系統記錄檔。
攻擊者可使用此瑕疵來對在系統記錄檔中沒有留下蹤跡的使用者帳戶執行密碼猜測攻擊。
(CVE-2008-4315)

建議所有 tog-pegasus 使用者皆升級至這些更新版套件，其中包含可更正這些問題的修補程式。

ID	Name	Product	Family	Published	Updated	Severity
60499	Scientific Linux Security Update : tog-pegasus on SL5.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
34956	RHEL 5 : tog-pegasus (RHSA-2008:1001)	Nessus	Red Hat Local Security Checks	11/25/2008	1/14/2021	medium
67770	Oracle Linux 5：tog-pegasus（ELSA-2008-1001）	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	medium
60499	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の tog-pegasus	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
67770	Oracle Linux 5 : tog-pegasus (ELSA-2008-1001)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	medium
43717	CentOS 5 : tog-pegasus (CESA-2008:1001)	Nessus	CentOS Local Security Checks	1/6/2010	1/4/2021	medium
43717	CentOS 5：tog-pegasus（CESA-2008:1001）	Nessus	CentOS Local Security Checks	1/6/2010	1/4/2021	medium
67770	Oracle Linux 5：tog-pegasus (ELSA-2008-1001)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	medium
60499	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 tog-pegasus	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
60499	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 tog-pegasus	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
67770	Oracle Linux 5 : tog-pegasus (ELSA-2008-1001)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium