检测

RHEL 7：Red Hat OpenShift Enterprise 3.2 (RHSA-2016:1094)

high Nessus 插件 ID 119373

语言：

简介

远程 Red Hat 主机缺少一个或多个安全更新。

描述

Atomic-openshift 和 nodejs-node-uuid 的更新现在可用于 Red Hat OpenShift Enterprise 3.2。此外，所有图像已在新的 RHEL 7.2.4 基础图像上重建。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat 的 OpenShift Enterprise 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。安全修复：* 在 OpenShift Enterprise 的 STI 生成程序中发现漏洞。未正确限制对 STI 生成的访问，进而允许攻击者利用 STI 生成来访问 Docker 套接字并提升其权限。(CVE-2016-3738) * 在 OpenShift Enterprise 中发现来源验证漏洞。如果为特定 pod 的 service/proxy 或 pod/ proxy API 授予匿名访问权，并在查询参数中提供授权的 access_token，则攻击者可能会访问储存在网页浏览器之 localStorage 的 API 凭据。(CVE-2016-3703) * 启用 multi-tenant SDN 并在通常与其他命名空间中的 pod 隔离的命名空间中运行生成时，在 OpenShift Enterprise 中发现缺陷。如果在这种环境下运行 s2i 生成，即将生成的容器可在 pod 上访问原本无法使用的网络资源。(CVE-2016-3708) CVE-2016-3738 问题的发现者为 David Eads (Red Hat)；CVE-2016-3703 问题的发现者为 Jordan Liggitt (Red Hat)；而 CVE-2016-3708 问题的发现者为 Ben Parees (Red Hat)。此更新包含下列图像：openshift3/ose:v3.2.0.44-2 openshift3/ose-deployer:v3.2.0.44-2 openshift3/ose-docker-builder:v3.2.0.44-2 openshift3/ose-docker-registry:v3.2.0.44-2 openshift3/ose-f5-router:v3.2.0.44-2 openshift3/ose-haproxy-router:v3.2.0.44-2 openshift3/ose-keepalived-ipfailover:v3.2.0.44-2 openshift3/ose-pod:v3.2.0.44-2 openshift3/ose-recycler:v3.2.0.44-2 openshift3/ose-sti-builder:v3.2.0.44-2 openshift3/jenkins-1-rhel7:1.642-32 openshift3/logging-auth-proxy:3.2.0-4 openshift3/logging-deployment:3.2.0-9 openshift3/logging-elasticsearch:3.2.0-8 openshift3/logging-fluentd:3.2.0-8 openshift3/logging-kibana:3.2.0-4 openshift3/metrics-deployer:3.2.0-6 openshift3/metrics-heapster:3.2.0-6 openshift3/mongodb-24-rhel7:2.4-28 openshift3/mysql-55-rhel7:5.5-26 openshift3/nodejs-010-rhel7:0.10-35 openshift3/node:v3.2.0.44-2 openshift3/openvswitch:v3.2.0.44-2 openshift3/perl-516-rhel7:5.16-38 openshift3/php-55-rhel7:5.5-35 openshift3/postgresql-92-rhel7:9.2-25 openshift3/python-33-rhel7:3.3-35 openshift3/ruby-20-rhel7:2.0-35 aep3_beta/aep:v3.2.0.44-2 aep3_beta/aep-deployer:v3.2.0.44-2 aep3_beta/aep-docker-registry:v3.2.0.44-2 aep3_beta/aep-f5-router:v3.2.0.44-2 aep3_beta/aep-haproxy-router:v3.2.0.44-2 aep3_beta/aep-keepalived-ipfailover:v3.2.0.44-2 aep3_beta/aep-pod:v3.2.0.44-2 aep3_beta/aep-recycler:v3.2.0.44-2 aep3_beta/logging-auth-proxy:3.2.0-4 aep3_beta/logging-deployment:3.2.0-9 aep3_beta/logging-elasticsearch:3.2.0-8 aep3_beta/logging-fluentd:3.2.0-8 aep3_beta/logging-kibana:3.2.0-4 aep3_beta/metrics-deployer:3.2.0-6 aep3_beta/metrics-heapster:3.2.0-6 aep3_beta/node:v3.2.0.44-2 aep3_beta/openvswitch:v3.2.0.44-2

解决方案

更新受影响的程序包。

另见

https://access.redhat.com/errata/RHSA-2016:1094

https://access.redhat.com/security/cve/cve-2016-3703

https://access.redhat.com/security/cve/cve-2016-3708

https://access.redhat.com/security/cve/cve-2016-3738

插件详情

严重性: High

ID: 119373

文件名: redhat-RHSA-2016-1094.nasl

版本: 1.5

类型: local

代理: unix

发布时间: 2018/12/4

最近更新时间: 2020/6/11

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.5

时间分数: 4.8

矢量: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P

CVSS v3

风险因素: High

基本分数: 8.8

时间分数: 7.7

矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:redhat:enterprise_linux:atomic-openshift, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-clients, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-clients-redistributable, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-dockerregistry, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-master, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-node, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-pod, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-recycle, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-sdn-ovs, p-cpe:/a:redhat:enterprise_linux:atomic-openshift-tests, p-cpe:/a:redhat:enterprise_linux:nodejs-node-uuid, p-cpe:/a:redhat:enterprise_linux:tuned-profiles-atomic-openshift-node, cpe:/o:redhat:enterprise_linux:7

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

易利用性: No known exploits are available

补丁发布日期: 2016/5/19

漏洞发布日期: 2016/6/8

参考资料信息

CVE: CVE-2016-3703, CVE-2016-3708, CVE-2016-3738

RHSA: 2016:1094