リモートの Redhat Enterprise Linux 6ホストにインストールされているパッケージは、RHSA-2020: 2058アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - jackson-mapper-asl：CVE-2016-3720に類似するXML外部エンティティ（CVE-2019-10172）

  - cxf: OpenId ConnectトークンサービスがclientIdを適切に検証しません（CVE-2019-12423）

  - cxf：サービス一覧ページでの折り返し型XSS（CVE-2019-17573）

  undertow：Expectを介したHttpReadListenerのメモリ枯渇問題：100-continueヘッダー（CVE-2020-10705）

  undertow：大きなサイズのチャンクが指定された無効なHTTPリクエスト（CVE-2020-10719）

  - Wildfly：EJBContextプリンシパルが、異なるセキュリティドメインを使用する別のEJBを呼び出した後に戻りません（CVE-2020-1719）

  - SmallRye：SecuritySupportクラスは不適切に公開されます。これには、現在のスレッドのコンテキストクラスローダーにアクセスするための静的メソッドが含まれます（CVE-2020-1729）

  - Soteria：同時スレッド間でのセキュリティIDの破損（CVE-2020-1732）

  - undertow：AJPファイル読み取り/インクルージョンの脆弱性（CVE-2020-1745）

  - undertow: servletPathが不適切に正規化され、危険なアプリケーションマッピングが行われます。これにより、セキュリティがバイパスされる可能性があります（CVE-2020-1757）

  - cryptacular：デコード操作中の過剰なメモリ割り当て（CVE-2020-7226）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 6：RHEL 6上のRed Hat JBoss Enterprise Application Platform 7.2.8 （RHSA-2020: 2058)

critical Nessus プラグイン ID 136494

バージョン 1.10