RHEL 7のRed Hat JBoss Enterprise Application Platform 6.4で更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platform 6は、JBoss Application Server 7をベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.14のリリースは、Red Hat JBoss Enterprise Application Platform 6.4.13に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正と拡張機能が含まれています。セキュリティ修正プログラム：* Red Hat Enterprise Linuxの特定のバージョンのEAPパッケージで、/etc/sysconfig/jbossas設定ファイルに対して不適切なアクセス許可が使用されていることがわかりました。ファイルはjbossグループに書き込み可能です（root:jboss、664）。従来の/etc/init.dの初期化スクリプト（Red Hat Enterprise Linux 6以前などの）を使用しているシステムでは、jbossサービスが起動、停止、または再起動されたときに、ファイルがjboss 初期化スクリプトにより供給され、root権限でそのコンテンツが実行されます。（CVE-2016-8657）* Apache TomcatサーブレットとJSPエンジンでのHTTPSリクエスト処理のプログラミングエラーにより、無限ループによるサービス拒否状態が発生する可能性があることがわかりました。（CVE-2017-6056）* RESTEasyで必ずしも必要ではないときに、GZIPInterceptorが有効になっていることがわかりました。攻撃者がこの欠陥を悪用して、DoS攻撃（サービス拒否攻撃）を引き起こす可能性があります。（CVE-2016-6346）Red Hatは、CVE-2016-6346の問題を報告してくれたMikhail Egorov氏（Odin）に感謝の意を表します。

検出

RHEL 7：JBoss EAP（RHSA-2017:0828）

high Nessus プラグイン ID 112253

変更ログが見つかりません