eap7-jboss-ec2-eapの更新プログラムが、RHEL 6のRed Hat JBoss Enterprise Application Platform 7.0およびRHEL 7のRed Hat JBoss Enterprise Application Platform 7.0で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。* eap7-jboss-ec2-eapパッケージは、Amazon Web Services（AWS）Elastic Compute Cloud（EC2）で実行するRed Hat JBoss Enterprise Application Platform用のスクリプトを提供します。この更新では、Red Hat JBoss Enterprise Application Platform 7.0.6との互換性を確保するためにeap7-jboss-ec2-eapパッケージが更新されました。このリリースに含まれる最も重要なバグ修正と拡張機能については、「参照」セクションでリンクされている『JBoss Enterprise Application Platform 7.0.6リリースノート』を参照してください。セキュリティ修正プログラム：* 特定の条件下でRESTEasyが強制的にYamlProviderへのリクエストを解析し、信頼できないデータでアンマーシャリングを実行する可能性があることが発見されました。攻撃者がこの欠陥を悪用し、RESTEasyを使用するアプリケーションのアクセス許可で任意のコードを実行する可能性があります。（CVE-2016-9606）* Red Hat JBoss Enterprise Application 6および7のログファイルビューアーでは、パストラバーサルを介して認証されたユーザーが任意のファイルを読み取る可能性があることがわかりました。（CVE-2017-2595）* HTTPリクエスト行を解析したコードが無効な文字を許可していたことがわかりました。これは、無効な文字は許可されているが解釈が異なるプロキシと組み合わせて、HTTP応答にデータを挿入するために悪用される可能性があります。HTTP応答を操作することにより、攻撃者がWebキャッシュポイズニングを発生させる、XSS攻撃を実行する、自分以外のリクエストから秘密情報を取得するなどの可能性があります。（CVE-2017-2666）*TCPが正常に終了しなかったとき、WebsocketサーバーはすべてのIOスレッドで無限ループに入り、事実上DoSを引き起こすことがわかりました。（CVE-2017-2670）Red Hatは、CVE-2016-9606を報告してくれたMoritz Bechler氏（AgNO3 GmbH＆Co. KG）と、CVE-2017-2670を報告してくれたGregory Ramsperger氏、Ryan Moak氏に感謝の意を表します。CVE-2017-2666の問題は、Radim Hatlapatka氏（Red Hat）により発見されました。

検出

RHEL 6/7：eap7-jboss-ec2-eap（RHSA-2017:1412）

high Nessus プラグイン ID 112176

変更ログが見つかりません