The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2015:2622 advisory.

    Red Hat Satellite is a system management solution that allows     organizations to configure and maintain their systems without the     necessity to provide public Internet access to their servers or other     client systems. It performs provisioning and configuration management     of predefined standard operating environments.

    The following security issue is addressed with this release:

    Satellite failed to properly enforce permissions on the show and destroy     actions for reports. This could lead to an authenticated user with show     and/or destroy report permissions being able to view and/or delete any     reports held in Foreman. (CVE-2015-5233)

    In addition, this update adds the following enhancement:

    * Satellite 6 has been enhanced with the PXE-Less Discovery feature.
    This feature supports the use of a single ISO to provision machines     against specific host groups. The users can provide the network     information so that the host does not need to be created on Satellite     in advance and DHCP does not need to be used. (BZ#1258061)

    This update also fixes the following bugs:

    * The installer was not processing the '\' character correctly, leading     to failed installations using proxies. This character is now handled     correctly, improving the installation experience. (BZ#1180637)

    * Help text provided by the installer had a typo which has now been     fixed. (BZ#1209139)

    * The hammer container list command did not provide the container ID.
    This data is now provided. (BZ#1230915)

    * Repository Sync Tasks in the UI were reported as successful if there     was an unhandled exception in the code. These exceptions are now     handled correctly, and the correct status is reported. (BZ#1246054)

    * The installer would remove the dhcpd.conf even if the installer was     told not to. This would remove users' configurations. The installer     has been updated to not manage this file unless requested.
    (BZ#1247397)

    * The history diff page for templates was opening two pages when only     one was required. The duplicate page is no longer opened. (BZ#1254909)

    * During provisioning, the default root password was not used when a     hostgroup had a blank string for the root password. Since the UI can     not set an empty value, the code was updated to cause either no or an     empty root password to use the default. (BZ#1255021)

    * Multi selection was not working for discovered hosts. This feature     is now working. (BZ#1258521)

    * When there is a mac address conflict, discovered hosts to not change     their state to Built. The code has been updated to handle this case.
    (BZ#1258578)

    * Deleting a lifecycle environment would fail with a dependent hosts     error. This was due to an incorrect mapping between environments and     hosts. This mapping has been fixed, and the environments can be     deleted. (BZ#1269441)

    * There were performance issues in package installations. The speed of     this action has been improved (BZ#1276443, BZ#1269509, BZ#1277269)

    * Synchronization tasks seemed to be randomly stuck to do timeouts.
    The locking in the qpid code has been improved to keep these tasks     from getting stuck (BZ#1279502)

    * This change enables users of CloudForms 4.0 to proxy Red Hat     Insights requests through Satellite.  The Satellite can now act as a     proxy for both CloudForms 4.0 and Satellite-only use cases.
    (BZ#1276676)

    Users of Red Hat Satellite are advised to upgrade to these updated     packages, which contain backported patches to correct these issues     and add this enhancement.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

1 つのセキュリティ問題を修正し、1 つの拡張機能を追加し、いくつかのバグを修正する更新済みの Satellite 6.1 パッケージが、Satellite 6.1.5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Satellite はシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの構成や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや構成管理も行います。

このリリースでは、次のセキュリティ問題に対処します：

Satellite は、レポートに対する表示および破壊動作に対する権限を、適切に強制できませんでした。このため、表示および/または破壊レポート権限を持つ認証されたユーザーが、Foreman に保持されているあらゆるレポートを閲覧および/または削除することができる可能性があります。(CVE-2015-5233)

また、この更新は以下の拡張機能も追加します：

* Satellite 6 は、PXE-Less Discovery 機能によって強化されました。
この機能は、特定のホストグループに対するマシンのプロビジョニングを実行するための、単一の ISO の使用をサポートします。ユーザーはネットワーク情報を提供することができ、このため Satellite 上で事前にホストを作成する必要がなく、DHCP を使用する必要もありません。（BZ#1258061）

この更新は以下のバグも修正します：

* インストーラーは「\」文字を適切に処理せず、プロキシを使用するインストールの失敗を引き起こしました。現在、この文字は適切に処理され、インストール機能を改善します。（BZ#1180637）

* インストーラーから提供されたヘルプテキストに存在した入力ミスは、現在は修正されています。（BZ#1209139）

* ハンマーコンテナのリストコマンドは、コンテナ ID を提供しませんでした。
現在、このデータは提供されています。（BZ#1230915）

* コードに未処理の例外がある場合、UI のリポジトリ同期タスクは正常に完了されたものとして報告されていました。現在、これらの例外は適切に処理され、適切なステータスが報告されるようになりました。（BZ#1246054）

* インストーラーは、dhcpd.conf を削除しないように指示されている場合でも、dhcpd.conf を削除する可能性があります。これにより、ユーザーの構成を削除する可能性があります。インストーラーは更新され、リクエストがない限りこのファイルを管理しないようになりました。
（BZ#1247397）

* テンプレート用の履歴 diff ページは、1 ページのみ必要な場合に、2 ページ開いていました。重複ページが開かなくなりました。（BZ#1254909）

* プロビジョニング中、ホストグループに root パスワード用の空の文字列がある場合、デフォルトの root パスワードは使用されませんでした。UI は空の値を設定できないため、root 以外のパスワード、または空の root パスワードをデフォルトとして使用するために、コードが更新されました。（BZ#1255021）

* 発見されたホストに対して複数選択が動作しませんでした。現在、この機能は動作しています。（BZ#1258521）

* Mac アドレスの競合がある場合、発見されたホストは、ステータスを「Built（構築済み）」に変更しません。この事例を処理するために、コードが更新されました。
（BZ#1258578）

* 「dependent hosts（依存ホスト）」エラーにより、ライフサイクル環境の削除が失敗する可能性があります。これは、環境とホストの間の不適切なマッピングが原因でした。このマッピングは修正され、環境を削除することができます。（BZ#1269441）

* パッケージのインストールに、パフォーマンスの問題がありました。この動作の速度は改善されました（BZ#1276443、BZ#1269509、BZ#1277269）

* 同期タスクは、ランダムにタイムアウトの実行を停止していたようです。
qpid コードのロッキングは改善され、これらのタスクの動作停止を回避するようになりました（BZ#1279502）

* この変更により、CloudForms 4.0 のユーザーは、Satellite を介して Red Hat Insights のリクエストのプロキシを行うことができます。現在、Satellite は CloudForms 4.0 を使用する事例および Satellite のみを使用する事例の両方に対して、プロキシとして機能することができます。
（BZ#1276676）

Red Hat Satellite のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、この拡張機能を追加することが推奨されます。

現已提供適用於 Satellite 6.1.5 的更新版 Satellite 6.1 套件，其可修正一個安全性問題、新增一個更新功能，並修正數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat Satellite 是一套系統管理解決方案，讓組織無須為其伺服器或其他用戶端系統提供公共網際網路存取，就可以設定和維護系統。可執行預先定義標準作業環境的佈建和組態管理。

此版本也已解決以下安全性問題：

Satellite 無法正確地強制執行報告的顯示和破壞動作權限。這可導致經驗證具有顯示和/或破壞報告權限的使用者檢視和/或刪除 Foreman 中保存的任何報告。(CVE-2015-5233)

此外，此更新還新增了下列增強功能：

* Satellite 6 已透過 PXE-Less Discovery 功能得到增強。
此功能支援使用單一 ISO 來針對特定主機群組佈建機器。使用者若可提供網路資訊，則不需要事先在 Satellite 上建立主機，也不需要使用 DHCP。(BZ#1258061)

此更新也可修正下列錯誤：

* 安裝程式未正確處理 ‘\’ 字元，導致使用 proxy 的安裝失敗。現可正確處理此字元，安裝體驗由此得到改善。(BZ#1180637)

* 安裝程式提供的說明文字中有一個錯字，現在已經修正。(BZ#1209139)

* hammer 容器清單命令並未提供容器 ID。
現已提供此資料。(BZ#1230915)

* 若程式碼中有未處理的例外狀況，UI 中的存放庫同步工作會報告為成功。現可正確處理這些例外狀況，並報告正確的狀態。(BZ#1246054)

* 即使要求安裝程式不要移除 dhcpd.conf，其仍會予以移除。這會移除使用者的組態。安裝程式更新後，除非有要求，否則不會管理這個檔案。
(BZ#1247397)

* 只需要一個頁面時，範本的歷程記錄 diff 頁面開啟了兩個頁面。更新後不會再開啟重複頁面。(BZ#1254909)

* 佈建期間，主機群組的 root 密碼中有空白字串時，未使用預設 root 密碼。由於 UI 無法設定空值，程式碼更新後可在無或空 root 密碼的情況下使用預設值。(BZ#1255021)

* 已發現的主機之多重選擇功能無法正常運作。此功能現可正常運作。(BZ#1258521)

* 存在 mac 位址衝突時，發現主機未將其狀態變更為 ‘Built’。程式碼已更新，現可處理此情況。
(BZ#1258578)

* 刪除生命週期環境的動作會失敗並伴隨「相依主機」錯誤。其原因是環境和主機間有一個錯誤的對應。此對應已修正，且現可刪除環境。(BZ#1269441)

* 套件安裝出現效能問題。此動作的速度已改善 (BZ#1276443、BZ#1269509、BZ#1277269)

* 同步工作似乎會隨機進入停滯狀態而逾時。
qpid 程式碼的鎖定已改善，可避免這些工作停滯 (BZ#1279502)

* 此變更讓 CloudForms 4.0 的使用者透過 Satellite 來代理 Red Hat Insights 要求。Satellite 現可針對「CloudForms 4.0」和「僅限 Satellite」這兩種用途作為 proxy 使用。
(BZ#1276676)

建議 Red Hat Satellite 使用者升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這個增強功能。

更新后的 Satellite 6.1 程序包修复了一个安全问题、添加了一项增强并修复了多个缺陷，可用于 Satellite 6.1.5。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Satellite 是一个系统管理解决方案，它使组织能够配置和维护其系统，而无需为自身服务器或其他客户端系统提供公共 Internet 访问。该解决方案可执行预定义标准操作环境的设置和配置管理。

此版本解决了以下安全问题：

Satellite 无法正确地实施针对报告的显示和破坏操作权限。这可导致具有显示和/或破坏报告权限的经认证的用户能够查看和/或删除 Foreman 中保存的任何报告。(CVE-2015-5233)

此外，此更新还添加了以下增强：

* Satellite 6 已经过增强，具有 PXE-Less Discovery 功能。
此功能支持针对特定主机群组使用配置机器的单个 ISO。用户可以提供网络信息，这样就不需要提前在 Satellite 上创建主机且不需要使用 DHCP。(BZ#1258061)

此更新还修复以下缺陷：

* 安装程序未正确地处理“\”字符，导致使用代理的安装失败。现在可以正确地处理此字符，改善了安装体验。(BZ#1180637)

* 现在已经修复了安装程序提供的帮助文本中的拼写错误。(BZ#1209139)

* hammer 容器列表命令未提供容器 ID。
现在提供此数据。(BZ#1230915)

* 如果代码中有未处理的异常，则 UI 中的存储库同步任务被报告为成功。现在可以正确地处理这些异常并报告正确的状态。(BZ#1246054)

* 即使安装程序被告知不要删除，安装程序也将删除 dhcpd.conf。这将删除用户的配置。已更新安装程序，除非请求，否则不管理此文件。
(BZ#1247397)

* 当仅需要一个页面时，模板的历史记录 diff 页面打开了两个页面。不再打开重复的页面。(BZ#1254909)

* 在配置期间，当主机群组的根密码为空白字符串时未使用默认根密码。因为 UI 无法设置空值，已更新代码以造成没有空根密码或一个空根密码使用默认根密码。(BZ#1255021)

* 多项选择对于所发现的主机不起作用。此功能现在正常。(BZ#1258521)

* 当存在 mac 地址冲突时，所发现的主机未将其状态更改为“已构建”。已更新代码以处理这种情况。
(BZ#1258578)

* 删除生命周期环境将失败并出现“dependent hosts”错误。这是由于环境和主机之间的映射不正确。已修复此映射，并且可以删除环境。(BZ#1269441)

* 程序包安装中存在性能问题。已改进此操作的速度（BZ#1276443、BZ#1269509、BZ#1277269）

* 同步任务似乎随机地卡住而发生超时。
已改进 qpid 代码中的锁定以防止这些任务卡住 (BZ#1279502)

* 此更改使 CloudForms 4.0 的用户能够通过 Satellite 代理 Red Hat Insights 请求。Satellite 现在可以充当 CloudForms 4.0 和仅 Satellite 用例的代理。
(BZ#1276676)

建议 Red Hat Satellite 的用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了此增强。

ID	Name	Product	Family	Published	Updated	Severity
87452	RHEL 6 / 7 : Satellite 6.1.5 update (Moderate) (RHSA-2015:2622)	Nessus	Red Hat Local Security Checks	12/17/2015	6/3/2024	medium
87452	RHEL 6/7：Satellite サーバー（RHSA-2015:2622）	Nessus	Red Hat Local Security Checks	12/17/2015	6/3/2024	medium
87452	RHEL 6 / 7 : Satellite Server (RHSA-2015:2622)	Nessus	Red Hat Local Security Checks	12/17/2015	6/3/2024	medium
87452	RHEL 6 / 7：Satellite Server (RHSA-2015:2622)	Nessus	Red Hat Local Security Checks	12/17/2015	6/3/2024	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium