RHEL 7のRed Hat JBoss Enterprise Application Platform 6.4で更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platform 6は、JBoss Application Server 7をベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.13のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.12に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正と拡張機能が含まれています。セキュリティ修正プログラム：* jbossの初期化スクリプトが安全でないファイル処理を実行しているため、ローカルで権限昇格が発生する可能性があることが発見されました。（CVE-2016-8656）* HTTPリクエスト行を解析するコードが無効な文字を許可していたことがわかりました。これは、無効な文字は許可されているが解釈が異なるプロキシと組み合わせて、HTTP応答にデータを挿入するために悪用される可能性があります。HTTP応答を操作することにより、攻撃者がWebキャッシュポイズニングを発生させる、XSS攻撃を実行する、自分以外のリクエストから秘密情報を取得するなどの可能性があります。（CVE-2016-6816）* サーバーログファイルをダウンロードするEAP機能により、GETリクエストによってログを利用できるため、オリジン間攻撃に対して脆弱性があります。攻撃者がユーザーのブラウザーをトリガーし、通常のサーバー機能が損なわれる可能性のある大量のリソースを消費するログファイルをリクエストする可能性があります。（CVE-2016-8627）* RBACを構成し情報を秘密としてマーキングすると、監視役割を持つユーザーが秘密情報を表示できることがわかりました。（CVE-2016-7061）CVE-2016-8627の問題はDarran LofthouseとBrian Stansberry氏（Red Hat）によって発見されました。

検出

RHEL 7：JBoss EAP（RHSA-2017:0245）

high Nessus プラグイン ID 112252

バージョン 1.7