Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムがRHEL 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platform 6は、JBoss Application Server 7をベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.9のリリースは、Red Hat JBoss Enterprise Application Platform 6.4.8に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正と拡張機能が含まれています。セキュリティ修正プログラム：* JGroupsは、クラスターに参加する新しいノードから、暗号化と認証プロトコルに必要なヘッダーを要求しないことが判明しました。攻撃者がこの欠陥を悪用して、セキュリティ制限をバイパスし、この脆弱性を悪用してクラスター内でメッセージを送受信する可能性があります。これにより、情報漏えい、メッセージ偽装、または実行可能なさらなる攻撃につながります。（CVE-2016-2141）この脆弱性の詳細については、次を参照してください：https://access.redhat.com/articles/2360521　*ディレクトリトラバーサルの欠陥がTomcatとJBoss WebのRequestUtil.javaに見つかりました。認証されたリモートのユーザーがこの欠陥を悪用し、意図されたSecurityManager制限をバイパスし、$CATALINA_BASE/webappsディレクトリが示すとおり、getResource、getResourceAsStream、またはgetResourcePathsのコールのWebアプリケーションが使用するパス名の「/..」を通じて親ディレクトリを一覧表示する可能性があります。（CVE-2015-5174）CVE-2016-2141の問題は、Dennis Reed氏（Red Hat）により発見されました。

検出

RHEL 7：JBoss EAP（RHSA-2016:1434）

critical Nessus プラグイン ID 112244

変更ログが見つかりません