RHEL 6対応のRed Hat JBoss Enterprise Web Server 2.1.2およびRHEL 7対応のRed Hat JBoss Enterprise Web Server 2.1.2の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。httpdパッケージにより、強力で効率の良い、拡張可能なWebサーバーである、Apache HTTPサーバーが提供されます。OpenSSLは、SSL（Secure Sockets Layer）プロトコルおよびTLS（Transport Layer Security）プロトコル、全強度の汎用暗号ライブラリを実装するツールキットです。Apache Tomcatは、JavaサーブレットとJavaServer Pages（JSP）技術のサーブレットコンテナです。このリリースは、Red Hat JBoss Web Server 2.1.2用のhttpd、OpenSSLおよびTomcat 6/7への更新プログラムを提供します。更新プログラムは、「参照」でリンクされているリリースノートでドキュメント化されています。Red Hat JBoss Web Server 2.1.2 Service Pack 2のこのリリースはRed Hat JBoss Web Server 2の更新プログラムとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムが含まれています。Red Hat JBoss Web Server 2のユーザーは、これらの更新済みパッケージへアップグレードし、いくつかのセキュリティ問題を修正する必要があります。セキュリティ修正プログラム：* httpdのmod_auth_digestモジュールが、ダイジェスト認証に関連する特定のヘッダーを処理するときに、メモリを適切に初期化せずに使用していたことがわかりました。リモートの攻撃者がこの欠陥を使用し、特別に細工されたリクエストをサーバーに送信して秘密情報を漏えいさせたり、httpdの子プロセスをクラッシュさせたりする可能性があります。（CVE-2017-9788）* servletコンテキストがreadonly=falseに設定され、HTTP PUTリクエストが許可されているTomcatで、脆弱性が発見されました。攻撃者がJSPファイルをそのコンテキストにアップロードし、コードを実行する可能性があります。（CVE-2017-12615）* servletコンテキストがreadonly=falseに設定され、HTTP PUTリクエストが許可されているTomcatで、脆弱性が発見されました。攻撃者がJSPファイルをそのコンテキストにアップロードし、コードを実行する可能性があります。（CVE-2017-12617）* DES/3DES暗号がTLS/SSLプロトコルの一部として使用される方法に欠陥が見つかりました。通信でDES/3DESベースの暗号スイートが使用されていた場合、中間にいる攻撃者がこの欠陥を悪用して、TLS/SSLサーバーとクライアントの間で大量の暗号化されたトラフィックをキャプチャすることにより、平文データを復元する可能性があります。（CVE-2016-2183）* httpdが無効な未登録のHTTPメソッド（.htaccessファイルで使用されるLimitディレクティブで指定されている）を処理する方法に、メモリ解放後使用（Use After Free）の欠陥があることがわかりました。リモートの攻撃者がこの欠陥を利用し、サーバーメモリの一部漏えいしたり、httpdの子プロセスをクラッシュさせたりする可能性があります。（CVE-2017-9798）Red HatはCVE-2016-2183を報告してくれたOpenVPNと、CVE-2017-9798を報告してくれたHanno Bock氏に感謝の意を表します。アップストリームは、Karthikeyan Bhargavan氏（Inria）とGaetan Leurent氏（Inria）をCVE-2016-2183の最初の報告者として認めています。バグ修正プログラム：*複数の機能が異なるコアダンプでnodestatsmemが破損。（BZ#1338640）*間違って生成されたアセンブラ命令movslqのために、process_info()でmod_clusterがセグメンテーション違反（BZ#1448709）*非常に大きいCRLのCRLチェックがOpenSSL 1.0.2で失敗（BZ#1493075）

検出

RHEL 6/7：Red Hat JBoss Web Server（RHSA-2017:3113）（Optionsbleed）

critical Nessus プラグイン ID 104456

バージョン 3.17