RHEL 6/7：Red Hat JBoss Core Services Apache HTTP Server 2.4.29 SP3（RHSA-2019: 2946）（長さゼロのヘッダーによる漏洩）（Data Dribble）（内部データのバッファリング）（リソースループ）
high Nessus プラグイン ID 129520
Language:
概要
リモートのRed Hatホストに、1つ以上のセキュリティ更新プログラムが適用されていません。説明
RHEL 6およびRHEL 7のJBoss Core Servicesに関する更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。
Red Hat JBoss Core Servicesは、Red Hat JBossミドルウェア製品の補足ソフトウェアのセットです。Apache HTTP Serverなどのこのソフトウェアは複数のJBossミドルウェア製品に共通であり、Red Hat JBoss Core Servicesとしてパッケージ化され、更新プログラムの迅速な配信やより一貫した更新が可能です。
Red Hat JBoss Core Services Apache HTTP Server 2.4.29 Service Pack 3のこのリリースは、Red Hat JBoss Core Services Apache HTTP Server 2.4.29の更新プログラムとして機能し、「参照」セクションにリンクされたCVEのバグ修正プログラムが含まれています。
セキュリティ修正プログラム:
* mod_http2：HTTP/2：長さゼロのヘッダーによりサービス拒否が引き起こされる（CVE-2019-9516）
* mod_http2：HTTP/2：大きな応答のリクエストにより、サービス拒否が引き起こされる（CVE-2019-9517）
バグ修正プログラム:
* nghttp2：1.39.2 へのリベース
影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
http://www.nessus.org/u?ca79c165
https://access.redhat.com/errata/RHSA-2019:2946
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=1741864
プラグインの詳細
深刻度: High
ID: 129520
ファイル名: redhat-RHSA-2019-2946.nasl
バージョン: 1.8
タイプ: local
エージェント: unix
公開日: 2019/10/2
更新日: 2024/4/27
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2019-9517
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-mod_session, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-mod_ssl, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-nghttp2, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-nghttp2-devel, cpe:/o:redhat:enterprise_linux:6, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-httpd, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-httpd-devel, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-httpd-manual, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-httpd-selinux, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-httpd-tools, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-mod_ldap, p-cpe:/a:redhat:enterprise_linux:jbcs-httpd24-mod_proxy_html
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2019/10/1
脆弱性公開日: 2019/8/13
参照情報
CVE: CVE-2019-9511, CVE-2019-9513, CVE-2019-9516, CVE-2019-9517