Red Hat Enterprise Linux 6のRed Hat JBoss Enterprise Application Platform 7.0で更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.0.6のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.0.5に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。セキュリティ修正プログラム：* 特定の条件下でRESTEasyが強制的にYamlProviderへのリクエストを解析し、信頼できないデータでアンマーシャリングを実行する可能性があることが発見されました。攻撃者がこの欠陥を悪用し、RESTEasyを使用するアプリケーションのアクセス許可で任意のコードを実行する可能性があります。（CVE-2016-9606）* Red Hat JBoss Enterprise Application 6および7のログファイルビューアーでは、パストラバーサルを介して認証されたユーザーに任意のファイルの読み取りを可能にすることがわかりました。（CVE-2017-2595）* HTTPリクエスト行を解析したコードが無効な文字を許可していたことがわかりました。これは、無効な文字は許可されているが解釈が異なるプロキシと組み合わせて、HTTP応答にデータを挿入するために悪用される可能性があります。HTTP応答を操作することにより、攻撃者がWebキャッシュポイズニングを発生させる、XSS攻撃を実行する、自分以外のリクエストから秘密情報を取得するなどの可能性があります。（CVE-2017-2666）*TCPが正常に終了しなかったとき、WebsocketサーバーはすべてのIOスレッドで無限ループに入り、事実上DoSを引き起こすことがわかりました。（CVE-2017-2670）Red Hatは、CVE-2016-9606を報告してくれたMoritz Bechler氏（AgNO3 GmbH＆Co. KG）と、CVE-2017-2670を報告してくれたGregory Ramsperger氏、Ryan Moak氏に感謝の意を表します。CVE-2017-2666の問題は、Radim Hatlapatka氏（Red Hat）により発見されました。

検出

RHEL 6：JBoss EAP（RHSA-2017:1410）

high Nessus プラグイン ID 112258

変更ログが見つかりません