Red Hat Single Sign-On 7.1 is now available for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat Single Sign-On is a standalone server, based on the Keycloak project, that provides authentication and standards-based single sign-on capabilities for web and mobile applications.

This release of Red Hat Single Sign-On 7.1 serves as a replacement for Red Hat Single Sign-On 7.0, and includes several bug fixes and enhancements. For further information regarding those, refer to the Release Notes linked to in the References section.

Security Fix(es) :

* It was found that keycloak did not correctly check permissions when handling service account user deletion requests sent to the REST server. An attacker with service account authentication could use this flaw to bypass normal permissions and delete users in a separate realm. (CVE-2016-8629)

* It was found that JBoss EAP 7 Header Cache was inefficient. An attacker could use this flaw to cause a denial of service attack.
(CVE-2016-9589)

* It was found that keycloak's implementation of HMAC verification for JWS tokens uses a method that runs in non-constant time, potentially leaving the application vulnerable to timing attacks. (CVE-2017-2585)

Red Hat would like to thank Gabriel Lavoie (Halogen Software) for reporting CVE-2016-9589 and Richard Kettelerij (Mindloops) for reporting CVE-2017-2585.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:0872 advisory.

  - keycloak: user deletion via incorrect permissions check (CVE-2016-8629)

  - wildfly: ParseState headerValuesCache can be exploited to fill heap with garbage (CVE-2016-9589)

  - keycloak: timing attack in JWS signature verification (CVE-2017-2585)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Red Hat Single Sign-On 7.1がRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Single Sign-Onは、Keycloakプロジェクトに基づいたスタンドアロンのサーバーで、Webアプリケーションとモバイルアプリケーションに認証と標準ベースのシングルサインオン機能を提供します。Red Hat Single Sign-On 7.1のこのリリースは、Red Hat Single Sign-On 7.0を置き換え、バグ修正および強化を含んでいます。これらの詳細については、「参照」セクションにリンクされているリリースノートを参照してください。セキュリティ修正プログラム：*RESTサーバーに送信されたサービスアカウントユーザーの削除リクエストを処理するとき、keycloakがアクセス許可を正しく確認していないことがわかりました。サービスアカウント認証を持つ攻撃者がこの欠陥を悪用して、通常のアクセス許可をバイパスし、別の領域のユーザーを削除する可能性があります。（CVE-2016-8629）* JBoss EAP 7ヘッダーキャッシュが非効率的であることがわかりました。攻撃者がこの欠陥を悪用して、サービス拒否攻撃を引き起こす可能性があります。（CVE-2016-9589）* JWSトークンのkeycloakのHMAC検証の実装で、定数時間で実行されない方法が使用され、アプリケーションがタイミング攻撃に対して脆弱になる可能性があることがわかりました。（CVE-2017-2585）Red Hatは、CVE-2016-9589を報告してくれたGabriel Lavoie氏（Halogen Software）と、CVE-2017-2585を報告してくれたRichard Kettelerij氏（Mindloops）に感謝の意を表します。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2017:0872 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - keycloak: 不適切なアクセス許可チェックによるユーザー削除 (CVE-2016-8629)

  - wildfly: ParseState headerValuesCache が悪用されて、ヒープがガベージで満たされる可能性があります (CVE-2016-9589)

  - keycloak: JWS 署名検証におけるタイミング攻撃 (CVE-2017-2585)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

現已提供適用於 Red Hat Enterprise Linux 7 的 Red Hat Single Sign-On 7.1。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat Single Sign-On 是一部以 Keycloak 專案為基礎建置而成的獨立伺服器，其為 Web 及行動應用程式提供驗證和標準型單一登入功能。本版本 Red Hat Single Sign-On 7.1 為 Red Hat Single Sign-On 7.0 的取代版本，內含數個錯誤修正和增強功能。如需進一步資訊，請參閱〈參照〉一節連結版本資訊。安全性修正：* 據發現，keycloak 在處理傳送給 REST 伺服器的服務帳戶使用者刪除要求時，未正確檢查權限。具有服務帳戶驗證的攻擊者可利用此缺陷繞過一般權限並刪除個別領域中的使用者。(CVE-2016-8629) * 據發現，JBoss EAP 7 標頭快取效率低落。攻擊者可利用此缺陷發動拒絕服務攻擊。(CVE-2016-9589) * 據發現，HMAC 驗證針對 JWS 權杖的 keycloak 實作使用的方法以非常數時間執行，可能會使應用程式易受計時攻擊影響。(CVE-2017-2585) Red Hat 感謝 Gabriel Lavoie (Halogen Software) 報告 CVE-2016-9589 以及 Richard Kettelerij (Mindloops) 報告 CVE-2017-2585。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2017:0872 公告中提及的多個弱點影響。

  - keycloak：因權限檢查不正確導致的使用者刪除 (CVE-2016-8629)

  - wildfly：ParseState headerValuesCache 可遭到惡意利用，以記憶體填滿堆積 (CVE-2016-9589)

  - keycloak：JWS 簽章驗證過程中發生定時攻擊 (CVE-2017-2585)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Red Hat Single Sign-On 7.1 现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Single Sign-On 是基于 Keycloak 项目的独立服务器，其为 Web 和移动应用程序提供基于身份验证和标准的单点登录功能。此 Red Hat Single Sign-On 7.1 版本可替换 Red Hat Single Sign-On 7.0，并且包括一些缺陷修复和增强功能。请参阅“参考”部分链接的版本说明以获取更多的相关信息。安全修复：* 当处理发送到 REST 服务器的服务帐户用户删除请求时，发现 keycloak 没有正确检查权限。具有服务帐户身份验证的攻击者可利用此缺陷以绕过正常权限以及在单独领域中删除用户。(CVE-2016-8629) * 已发现 JBoss EAP 7 标头缓存无效。攻击者可利用此缺陷造成拒绝服务攻击。(CVE-2016-9589) * 发现 keycloak 实施 JWS 令牌的 HMAC 认证时使用在非持续时间内运行的方法，可能使应用程序易受到时序攻击。(CVE-2017-2585) Red Hat 在此感谢 Gabriel Lavoie (Halogen Software) 报告 CVE-2016-9589 以及 Richard Kettelerij (Mindloops) 报告 CVE-2017-2585。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2017:0872 公告中提及的多个漏洞影响。

  - keycloak：通过错误的权限检查删除用户 (CVE-2016-8629)

  - wildfly：可利用 ParseState headerValuesCache 以垃圾填充堆 (CVE-2016-9589)

  - keycloak：JWS 签名验证中的时序攻击 (CVE-2017-2585)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
117314	RHEL 7 : Single Sign-On (RHSA-2017:0873)	Nessus	Red Hat Local Security Checks	9/6/2018	10/24/2019	high
117313	RHEL 6 : Red Hat Single Sign-On 7.1 update on RHEL 6 (Moderate) (RHSA-2017:0872)	Nessus	Red Hat Local Security Checks	9/6/2018	4/24/2024	medium
117314	RHEL 7：Single Sign-On（RHSA-2017:0873）	Nessus	Red Hat Local Security Checks	9/6/2018	10/24/2019	high
117313	RHEL 6 : RHEL 6 における Red Hat Single Sign-On 7.1 の更新 (重要度中) (RHSA-2017:0872)	Nessus	Red Hat Local Security Checks	9/6/2018	4/24/2024	medium
117314	RHEL 7：單一登入 (RHSA-2017:0873)	Nessus	Red Hat Local Security Checks	9/6/2018	10/24/2019	high
117313	RHEL 6：RHEL 6 上的 Red Hat Single Sign-On 7.1 更新 (中等) (RHSA-2017:0872)	Nessus	Red Hat Local Security Checks	9/6/2018	4/24/2024	medium
117314	RHEL 7 : 单点登录 (RHSA-2017:0873)	Nessus	Red Hat Local Security Checks	9/6/2018	10/24/2019	high
117313	RHEL 6：RHEL 6 上的 Red Hat Single Sign-On 7.1 更新（中危）(RHSA-2017:0872)	Nessus	Red Hat Local Security Checks	9/6/2018	4/24/2024	medium

Detections

Analytics

Plugins Search

high

medium

high

medium

high

medium

high

medium