リモート Redhat Enterprise Linux 6 ホストに、RHSA-2017:2710 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Core Services は、Red Hat JBoss ミドルウェア製品の補足ソフトウェアのセットです。Apache HTTP Server などのこのソフトウェアは複数の JBoss ミドルウェア製品に共通であり、Red Hat JBoss Core Services としてパッケージ化され、更新プログラムの迅速な配信やより一貫した更新が可能です。

    Red Hat JBoss Core Services Apache HTTP Server 2.4.23 Service Pack 2のこのリリースは、Red Hat JBoss Core Services Apache HTTP Server 2.4.23 Service Pack 1の更新プログラムとして機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正プログラムが含まれています。

    セキュリティ修正プログラム:

    * httpd の mod_auth_digest モジュールが、ダイジェスト認証に関連する特定のヘッダーを処理するときに、メモリを適切に初期化せずに使用していることがわかりました。リモートの攻撃者がこの欠陥を使用し、特別に細工されたリクエストをサーバーに送信して秘密情報を漏洩させたり、httpdの子プロセスをクラッシュさせたりする可能性があります。（CVE-2017-9788）

    * httpd 2.4で、内部API関数ap_some_auth_required()が、認証が使用されていないときもリクエストが認証されたと誤って示す可能性があることが発見されました。このAPI関数を使用するhttpdモジュールが、結果的に、拒否されるべきアクセスを許可する可能性があります。（CVE-2015-3185）

    * DES/3DES暗号がTLS/SSLプロトコルの一部として使用される方法に欠陥が見つかりました。通信でDES/3DESベースの暗号スイートが使用されていた場合、中間にいる攻撃者がこの欠陥を悪用して、TLS/SSLサーバーとクライアントの間で大量の暗号化されたトラフィックをキャプチャすることにより、平文データを復元する可能性があります。
    (CVE-2016-2183)

    Red Hat社は、CVE-2016-2183を報告してくれたOpenVPNに感謝の意を表します。Upstreamは、Karthikeyan Bhargavan氏（Inria）とGatan Leurent氏（Inria）をの最初の報告者として認めています CVE-2016-2183。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 6：Red Hat JBoss Core Services（RHSA-2017:2710）

critical Nessus プラグイン ID 103241

バージョン 3.12