From Red Hat Security Advisory 2012:0151 :

Updated conga packages that fix multiple security issues, several bugs, and add one enhancement are now available for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having moderate security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

The conga packages provide a web-based administration tool for remote cluster and storage management.

Multiple cross-site scripting (XSS) flaws were found in luci, the conga web-based administration application. If a remote attacker could trick a user, who was logged into the luci interface, into visiting a specially crafted URL, it would lead to arbitrary web script execution in the context of the user's luci session. (CVE-2010-1104, CVE-2011-1948)

These updated conga packages include several bug fixes and an enhancement. Space precludes documenting all of these changes in this advisory. Users are directed to the Red Hat Enterprise Linux 5.8 Technical Notes, linked to in the References, for information on the most significant of these changes.

Users of conga are advised to upgrade to these updated packages, which correct these issues and add this enhancement. After installing the updated packages, luci must be restarted ('service luci restart') for the update to take effect.

The conga packages provide a web-based administration tool for remote cluster and storage management.

Multiple cross-site scripting (XSS) flaws were found in luci, the conga web-based administration application. If a remote attacker could trick a user, who was logged into the luci interface, into visiting a specially crafted URL, it would lead to arbitrary web script execution in the context of the user's luci session. (CVE-2010-1104, CVE-2011-1948)

These updated conga packages include several bug fixes and an enhancement.

Users of conga are advised to upgrade to these updated packages, which correct these issues and add this enhancement. After installing the updated packages, luci must be restarted ('service luci restart') for the update to take effect.

変更内容の説明：

[0.12.2-51.0.1.el5]
- conga-enterprise.patch を追加しました
- OEL5 をサポートするために conga-enterprise-Carthage.patch を追加しました
- conga-0.12.2.tar.gz で、Redhat のロゴ画像を置換しました

[0.12.2-51]
- 修正 bz711494（CVE-2011-1948 plone：折り返し型 XSS 脆弱性）
- 修正 bz771920（CVE-2011-4924 Zope：CVE-2010-1104/bz577019 に対する不完全なパッチ）

[0.12.2-45]
- 修正 bz751359（fence_ipmilan の -L オプションの luci サポートを追加）

[0.12.2-44]
- 修正 bz577019（CVE-2010-1104 zope：エラーページでの XSS）

[0.12.2-42]
- 修正 bz755935（luci_admin man ページが誤解を招く）
- 修正 bz755941（luci_admin 復元に一貫性がない）

[0.12.2-40]
- ビジーなノードを除外する修正が luci 内部で適切に機能しません。

[0.12.2-38]
- bz734562 に対する追加修正（Luci のリソース名の検証を改善）

[0.12.2-37]
- bz734562 に対する追加修正（Luci のリソース名の検証を改善）

[0.12.2-36]
- luci データベースのバージョンを更新します。

[0.12.2-35]
- 修正 bz739600（conga によって、リソースにエラーがある文字が含まれます）
- 修正 bz734562（Luci のリソース名の検証を改善します）

[0.12.2-34]
- 修正 bz709478（仮想マシン対応であると、Ricci が検出に失敗します）
- 修正 bz723000（既存の共有リソースの変更で、cluster.conf の参照が更新されません）
- 修正 bz723188（Luci は、modify __max_restarts および 
__restart_expire_time に対して独立したサブツリーを許可せず、許可するのは重要でないリソースの場合だけです）

[0.12.2-33]
- 修正 bz732483（パッケージのインストールの際に、新しいクラスターの作成が luci で失敗します。）

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2012:0151 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - zope: エラーページでの XSS (CVE-2010-1104)

  - plone: 折り返し型クロスサイトスクリプティングの脆弱性 (CVE-2011-1948)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 5 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2012:0151 advisory.

  - zope: XSS on error page (CVE-2010-1104)

  - plone: A reflected cross site scripting vulnerability (CVE-2011-1948)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

conga パッケージは、リモートクラスターとストレージ管理向けのウェブベース管理ツールを提供します。

conga のウェブベース管理アプリケーションである luci に、複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が luci インターフェイスにログインしたユーザーを騙して、特別に細工された URL にアクセスさせることができた場合、これは、ユーザーの luci セッションのコンテキストで任意の Web スクリプトが実行される原因になっていました。（CVE-2010-1104、CVE-2011-1948）

conga パッケージの更新には、複数のバグ修正と拡張機能が含まれています。

conga のユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正、この拡張機能を追加することが推奨されます。この更新を有効にするには、更新パッケージのインストール後、luci を再起動（「service luci restart」）する必要があります。

變更描述：

[0.12.2-51.0.1.el5]
- 新增 conga-enterprise.patch
- 新增 conga-enterprise-Carthage.patch 以支援 OEL5
- 取代 conga-0.12.2.tar.gz 中的 redhat 標誌影像

[0.12.2-51]
- 修正 bz711494 (CVE-2011-1948 plone：反射式 XSS 弱點)
- 修正 bz771920 (CVE-2011-4924 Zope：不完整的 CVE-2010-1104/bz577019 上游修補程式)

[0.12.2-45]
- 修正 bz751359 (新增 fence_ipmilan's -L 選項的 luci 支援)

[0.12.2-44]
- 修正 bz577019 (CVE-2010-1104 zope：錯誤頁面上的 XSS)

[0.12.2-42]
- 修正 bz755935 (luci_admin 手冊頁誤導)
- 修正 bz755941 (luci_admin 還原不一致)

[0.12.2-40]
- 修正 luci 內部無法正確排除忙碌節點的問題。

[0.12.2-38]
- 針對 bz734562 的其他修正 (改善 Luci 的資源名稱驗證)

[0.12.2-37]
- 針對 bz734562 的其他修正 (改善 Luci 的資源名稱驗證)

[0.12.2-36]
- luci 資料庫的升級版本。

[0.12.2-35]
- 修正 bz739600 (conga 允許資源中的錯誤字元)
- 修正 bz734562 (改善 Luci 的資源名稱驗證)

[0.12.2-34]
- 修正 bz709478 (Ricci 無法偵測主機或虛擬機器是否可執行)
- 修正 bz723000 (修改現有的共用資源不會更新 cluster.conf 中的參照)
- 修正 bz723188 (Luci 不允許修改獨立樹狀子目錄的 __max_restarts 和 
__restart_expire_time，僅可修改非重大資源)

[0.12.2-33]
- 修正 bz732483 (安裝套件時，以 luci 建立新叢集失敗。)

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2012:0151 公告中提及的多個弱點影響。

  - zope：錯誤頁面上的 XSS (CVE-2010-1104)

  - plone：反射式跨網站指令碼弱點 (CVE-2011-1948)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

更改描述：

[0.12.2-51.0.1.el5]
- 添加了 conga-enterprise.patch
- 添加了 conga-enterprise-Carthage.patch 以支持 OEL5
- 替换了 conga-0.12.2.tar.gz 中的 redhat 徽标图像

[0.12.2-51]
- 修复 bz711494（CVE-2011-1948 plone：反射型 XSS 漏洞）
- 修复 bz771920（CVE-2011-4924 Zope：针对 CVE-2010-1104/bz577019 的不完整的上游修补程序）

[0.12.2-45]
- 修复 bz751359（为 fence_ipmilan 的 -L 选项添加 luci 支持）

[0.12.2-44]
- 修复 bz577019（CVE-2010-1104 zope：错误页面上的 XSS）

[0.12.2-42]
- 修复 bz755935（luci_admin 手册页误导）
- 修复 bz755941（luci_admin 还原不一致）

[0.12.2-40]
- 修复排除繁忙节点在 luci 内部未正常工作的情况。

[0.12.2-38] - bz734562 的其他补丁（改进 Luci 的资源名称验证）

[0.12.2-37] - bz734562 的其他补丁（改进 Luci 的资源名称验证）

[0.12.2-36]
- 升级 luci 数据库的版本。

[0.12.2-35]
- 修复 bz739600（conga 允许资源中错误的字符）
- 修复 bz734562（改进 Luci 的资源名称验证）

[0.12.2-34]
- 修复 bz709478（Ricci 无法检测主机是否支持虚拟机）
- 修复 bz723000（修改现有的共享资源将不会更新 cluster.conf 中的引用）
- 修复 bz723188（Luci 不允许修改独立子树的 __max_restarts 和
__restart_expire_time，仅适用于不重要的资源）

[0.12.2-33]
- 修复 bz732483（安装程序包时通过 luci 创建新群集失败）

conga 套件可為遠端叢集與儲存管理提供 web 式管理工具。

在 luci (conga web 式管理應用程式) 中發現多個跨網站指令碼 (XSS) 瑕疵。如果遠端攻擊者可誘騙已登入 luci 介面的使用者造訪特製 URL，這會導致在使用者的 luci 工作階段內容中執行任意 web 指令碼。(CVE-2010-1104、CVE-2011-1948)

這些更新版 conga 套件包含數個錯誤修正和一個增強功能。

建議 conga 使用者升級至這些更新版套件，該等套件可更正這些問題並新增此增強功能。安裝更新版套件之後，必須先重新啟動 luci (「service luci restart」)，更新才會生效。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2012:0151 公告中提及的多个漏洞影响。

  - zope：错误页面上的 XSS (CVE-2010-1104)

  - plone：反射型跨站脚本漏洞 (CVE-2011-1948)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

conga 程序包为远程群集和存储管理提供基于 Web 的管理工具。

在 luci（conga 基于 Web 的管理应用程序）中发现多种跨站脚本缺陷 (XSS)。如果远程攻击者可诱骗登录到 luci 界面的用户访问特别构建的 URL，则将导致在用户 luci 会话的上下文中执行任意 Web 脚本。（CVE-2010-1104、CVE-2011-1948）

这些更新后的 conga 程序包中包括多个缺陷补丁和一项增强。

建议 conga 用户升级这些更新后的程序包，其中修正了这些问题并增加这些增强。安装更新后的程序包后，必须重新启动 luci（“service luci restart”）才能使更新生效。

ID	Name	Product	Family	Published	Updated	Severity
68469	Oracle Linux 5 : conga (ELSA-2012-0151)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	medium
61258	Scientific Linux Security Update : conga on SL5.x i386/x86_64 (20120221)	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
68469	Oracle Linux 5：conga（ELSA-2012-0151）	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	medium
64029	RHEL 5 : conga (RHSA-2012:0151)	Nessus	Red Hat Local Security Checks	1/24/2013	4/21/2024	medium
64029	RHEL 5 : conga (RHSA-2012:0151)	Nessus	Red Hat Local Security Checks	1/24/2013	4/21/2024	medium
61258	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の conga	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
68469	Oracle Linux 5 : conga (ELSA-2012-0151)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	medium
64029	RHEL 5：conga (RHSA-2012:0151)	Nessus	Red Hat Local Security Checks	1/24/2013	4/21/2024	medium
68469	Oracle Linux 5：conga (ELSA-2012-0151)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	medium
61258	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 conga	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium
64029	RHEL 5：conga (RHSA-2012:0151)	Nessus	Red Hat Local Security Checks	1/24/2013	4/21/2024	medium
61258	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 conga	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium