Red Hat Enterprise Linux 7 向けの Red Hat JBoss Enterprise Application Platform 6.4の更新が現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示す CVSS (共通脆弱性評価システム) ベーススコアは、「参照」セクションの CVE リンクから脆弱性ごとに入手できます。

Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。

Red Hat JBoss Enterprise Application Platform 6.4.19のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.18に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。

セキュリティ修正プログラム:

* ArtemisとHornetQがUDPディスカバリとJGroupsディスカバリで構成されているとき、予期しないマルチキャストメッセージを受信したときに、巨大なバイト配列が作成されることが発見されました。これにより、ヒープメモリの枯渇、完全なGC、またはOutOfMemoryErrorが発生する可能性があります。(CVE-2017-12174)

* servlet コンテキストが readonly=falseに設定され、HTTP PUT リクエストが許可されている Tomcat で、脆弱性が発見されました。攻撃者が JSP ファイルをそのコンテキストにアップロードし、コードを実行する可能性があります。(CVE-2017-12617)

* jboss-remotingバージョン Final-redhat-1で導入されたRemoteMessageChannelの空のバッファから読み込む方法に脆弱性が発見されました。攻撃者がこの欠陥を利用して、無限ループによって発生する高CPUを介してサービス拒否を引き起こす可能性があります。(CVE-2018-1041)

CVE-2017-12174の問題は三浦正文氏 (Red Hat) によって発見されました。

検出

RHEL 7: JBoss EAP (RHSA-2018：0268)

high Nessus プラグイン ID 106650

バージョン 3.15