RHEL 6:JBoss EAP(RHSA-2017:3399)

critical Nessus プラグイン ID 105209

概要

リモートのRed Hatホストにセキュリティ更新プログラムがありません。

説明

更新プログラムが、Red Hat Enterprise Linux 5対応のRed Hat JBoss Enterprise Application Platform 5およびRed Hat Enterprise Linux 6対応のRed Hat JBoss Enterprise Application Platform 5で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS(共通脆弱性評価システム)ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。この非同期パッチは、Red Hat JBoss Enterprise Application Platform 5.2.0のlog4jパッケージのセキュリティ更新プログラムです。セキュリティ修正プログラム:* log4jソケットサーバーでリモートロギングを使用すると、log4jサーバーはTCPまたはUDP経由で受け取ったログイベントを逆シリアル化することがわかりました。攻撃者はこの欠陥を悪用して、特別に細工されたログイベントを送信し、逆シリアル化中に、loggerアプリケーションのコンテキストで任意のコードを実行する可能性があります。(CVE-2017-5645)

ソリューション

影響を受けるlog4jパッケージを更新してください。

参考資料

https://access.redhat.com/documentation/en-us/

https://access.redhat.com/errata/RHSA-2017:3399

https://access.redhat.com/security/cve/cve-2017-5645

https://access.redhat.com/security/cve/cve-2019-17571

プラグインの詳細

深刻度: Critical

ID: 105209

ファイル名: redhat-RHSA-2017-3399.nasl

バージョン: 3.11

タイプ: local

エージェント: unix

公開日: 2017/12/13

更新日: 2020/5/8

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: High

Base Score: 7.5

Temporal Score: 5.5

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS v3

リスクファクター: Critical

Base Score: 9.8

Temporal Score: 8.5

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:log4j, cpe:/o:redhat:enterprise_linux:5, cpe:/o:redhat:enterprise_linux:6

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2017/12/7

脆弱性公開日: 2017/4/17

参照情報

CVE: CVE-2017-5645, CVE-2019-17571

IAVA: 2020-A-0008-S

RHSA: 2017:3399