更新后的 rhevm-reports 程序包修复了三个安全问题，现在可用。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization 报告程序包提供预配置报告的套件和仪表板，可通过这些报告和仪表板来监控系统。报告模块基于 JasperReports 和 JasperServer，并且还可用于创建临时报告。

发现 ovirt-engine-reports 设置脚本以明文方式将报告数据库密码记录在一个全局可读的文件中。在 Red Hat Enterprise Virtualization Manager 服务器上具有本地用户帐户的攻击者可利用此缺陷访问、读取和修改报告数据库。(CVE-2014-0199)

注意：应用此公告提供的更新不会修改任何现有日志文件。建议搜索现有日志文件并手动删除所有出现的明文密码。

发现 Red Hat Enterprise Virtualization Manager 将数据源配置文件 (js-jboss7-ds.xml) 报告为全局可读。在 Red Hat Enterprise Virtualization Manager 服务器上具有本地用户帐户的攻击者可利用此缺陷访问、读取和修改报告数据库。(CVE-2014-0200)

发现多种 ovirt-engine-reports 配置文件为全局可读。在 Red Hat Enterprise Virtualization Manager 服务器上拥有本地用户帐户的攻击者可使用此缺陷来访问各种潜在敏感信息。(CVE-2014-0201)

这些问题由 Red Hat 发现。

此更新还修复以下缺陷：

* 之前，如果手动修改了 pg_hba.conf 文件的默认间距，rhevm-reports-setup 会失败。现在，该命令不会检查文件中的实际间距，设置会成功完成。
(BZ#1085374)

建议所有 rhevm-reports 用户升级此更新后的程序包，该程序包修正了这些问题。

检测

RHEL 6：rhevm-reports 3.3.3 (RHSA-2014:0558)

low Nessus 插件 ID 79022

未找到变更日志