Red Hat Enterprise Linux 6用のRed Hat JBoss Enterprise Application Platform 7.2の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platform 7.2.4のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.2.3に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.2.4リリースノート』を参照してください。セキュリティ修正プログラム：* jackson-databind：デフォルトの入力ミス処理により、リモートでコードが実行される可能性があります（CVE-2019-14379）* jackson-databind：logback-coreクラスを多態的な逆シリアル化からブロックできないため、リモートでコードが実行される可能性があります（CVE- 2019-12384）* jackson-databind：多態的なタイピングの問題により、攻撃者が細工されたJSONメッセージを介してサーバー上の任意のローカルファイルを読み取る可能性があります（CVE-2019-12814）* undertow：有効になっている場合に、io.undertow.request.securityのDEBUGログがログファイルに認証情報を漏えいします（CVE-2019-10212）* codehaus：jackson-databindの脆弱性での安全でない逆シリアル化の不完全な修正（CVE-2019-10202）* jackson-databind：ポリモーフィックタイピングの問題により、攻撃者がサーバー上の任意のローカルファイルを読み取る可能性があります（CVE -2019-12086）* undertow：末尾にスラッシュがないディレクトリのリクエストにおける情報漏えい（CVE-2019-10184）

検出

RHEL 6：JBoss EAP（RHSA-2019:2935）

critical Nessus プラグイン ID 129516

バージョン 1.7