关键信息 漏洞详情 漏洞编号: Bug 1939701 (CVE-2021-20290) 漏洞名称: smart_proxy_openscap: Clients can perform reserved actions on Foreman Server through OpenSCAP plugin for smart-proxy 状态: NEW 优先级: medium 严重性: medium 报告时间: 2021-03-16 20:50 UTC 修改时间: 2023-07-07 08:28 UTC 影响范围 产品: Security Response 组件: vulnerability 版本: unspecified 硬件: All 操作系统: Linux 漏洞描述 在Foreman中，用于smart-proxy的OpenSCAP插件引入了一个漏洞，该漏洞允许任何客户端执行Foreman服务器的操作。如果客户端系统安装了由Puppet CA或Foreman的消费者证书且由Katello CA颁发，攻击者可以使用这些客户端证书访问OpenSCAP API并执行仅保留给Foreman服务器的操作。 缓解措施 为了缓解这一漏洞，需要从服务器上禁用smart_proxy_openscap插件。可以通过编辑 并重启 服务，或者运行 命令。 声明 Red Hat Satellite 6所使用的smart_proxy_openscap插件受到此漏洞的影响。此漏洞对完整性和系统可用性构成最大威胁。 相关链接 上游补丁: https://github.com/theforeman/smart_proxy_openscap/pull/80 (待审核)