RHEL 7 : RHEL 7 上の Red Hat JBoss Enterprise Application Platform 7.4.14 (RHSA-2023:7637)

high Nessus プラグイン ID 186542

概要

リモート Red Hat ホストに 1 つ以上の RHEL 7 の Red Hat JBoss Enterprise Application Platform 7.4.14 のセキュリティ更新がありません。

説明

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2023:7637 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- guava: 安全でない一時ディレクトリの作成 (CVE-2023-2976)

- eap-galleon: カスタムプロビジョニングにより、安全でない http-invoker が作成されます (CVE-2023-4503)

- xnio: 通知者状態のチェーンが問題があるほど大きくなるときの StackOverflowException (CVE-2023-5685)

- jetty-server: request.getParameter() によるファイル名の読み取りのない大きなマルチパートの OutOfMemoryError (CVE-2023-26048)

- jetty-server: 引用された値のクッキー解析により、他のクッキーから値が抽出される可能性があります (CVE-2023-26049)

- apache-mina-sshd: SFTP サーバー実装における情報漏洩 (CVE-2023-35887)

- apache-avro: Apache Avro Java SDK: Avro Java SDK の信頼できないデータを逆シリアル化するときのメモリ (CVE-2023-39410)

- HTTP/2: 複数の HTTP/2 が有効な Web サーバーが、DDoS 攻撃 (Rapid Reset 攻撃) に対して脆弱です (CVE-2023-44487)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

RHEL 7 パッケージの RHEL Red Hat JBoss Enterprise Application Platform 7.4.14 を、RHSA-2023:7637 のガイダンスに従って更新してください。

参考資料

http://www.nessus.org/u?327e7d12

http://www.nessus.org/u?95a15247

http://www.nessus.org/u?a09f328d

https://access.redhat.com/errata/RHSA-2023:7637

https://access.redhat.com/security/updates/classification/#important

https://access.redhat.com/security/vulnerabilities/RHSB-2023-003

https://bugzilla.redhat.com/show_bug.cgi?id=2184751

https://bugzilla.redhat.com/show_bug.cgi?id=2215229

https://bugzilla.redhat.com/show_bug.cgi?id=2236340

https://bugzilla.redhat.com/show_bug.cgi?id=2236341

https://bugzilla.redhat.com/show_bug.cgi?id=2240036

https://bugzilla.redhat.com/show_bug.cgi?id=2242521

https://bugzilla.redhat.com/show_bug.cgi?id=2242803

https://issues.redhat.com/browse/JBEAP-25004

https://issues.redhat.com/browse/JBEAP-25085

https://issues.redhat.com/browse/JBEAP-25086

https://issues.redhat.com/browse/JBEAP-25378

https://issues.redhat.com/browse/JBEAP-25380

https://issues.redhat.com/browse/JBEAP-25419

https://issues.redhat.com/browse/JBEAP-25451

https://issues.redhat.com/browse/JBEAP-25457

https://issues.redhat.com/browse/JBEAP-25541

https://issues.redhat.com/browse/JBEAP-25547

https://issues.redhat.com/browse/JBEAP-25576

https://issues.redhat.com/browse/JBEAP-25594

https://issues.redhat.com/browse/JBEAP-25627

https://issues.redhat.com/browse/JBEAP-25657

https://issues.redhat.com/browse/JBEAP-25685

https://issues.redhat.com/browse/JBEAP-25700

https://issues.redhat.com/browse/JBEAP-25716

https://issues.redhat.com/browse/JBEAP-25726

https://issues.redhat.com/browse/JBEAP-25772

https://issues.redhat.com/browse/JBEAP-25779

https://issues.redhat.com/browse/JBEAP-25803

https://issues.redhat.com/browse/JBEAP-25838

https://issues.redhat.com/browse/JBEAP-26041

プラグインの詳細

深刻度: High

ID: 186542

ファイル名: redhat-RHSA-2023-7637.nasl

バージョン: 1.6

タイプ: local

エージェント: unix

公開日: 2023/12/4

更新日: 2024/4/28

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: High

基本値: 7.8

現状値: 6.4

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS スコアのソース: CVE-2023-4503

CVSS v3

リスクファクター: High

基本値: 7.5

現状値: 7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C

脆弱性情報

CPE: cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-cli, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-commons, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-core-client, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-dto, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-hornetq-protocol, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-hqclient-protocol, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-jdbc-store, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-jms-client, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-jms-server, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-journal, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-ra, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-selector, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-server, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-client-hotrod, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-commons, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-component-annotations, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-core, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-hibernate-cache-commons, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-hibernate-cache-spi, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-hibernate-cache-v53, p-cpe:/a:redhat:enterprise_linux:eap7-jandex, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-service-extensions, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-tools, p-cpe:/a:redhat:enterprise_linux:eap7-apache-sshd, p-cpe:/a:redhat:enterprise_linux:eap7-avro, p-cpe:/a:redhat:enterprise_linux:eap7-guava, p-cpe:/a:redhat:enterprise_linux:eap7-guava-libraries, p-cpe:/a:redhat:enterprise_linux:eap7-hal-console, p-cpe:/a:redhat:enterprise_linux:eap7-hibernate, p-cpe:/a:redhat:enterprise_linux:eap7-hibernate-core, p-cpe:/a:redhat:enterprise_linux:eap7-hibernate-entitymanager, p-cpe:/a:redhat:enterprise_linux:eap7-hibernate-envers, p-cpe:/a:redhat:enterprise_linux:eap7-hibernate-java8, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-cachestore-jdbc, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-cachestore-remote, p-cpe:/a:redhat:enterprise_linux:eap7-weld-jta, p-cpe:/a:redhat:enterprise_linux:eap7-weld-probe-core, p-cpe:/a:redhat:enterprise_linux:eap7-weld-web, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-java-jdk11, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-java-jdk8, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-javadocs, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-modules, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-transaction-client, p-cpe:/a:redhat:enterprise_linux:eap7-yasson, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-jsp-api_2.3_spec, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-marshalling, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-marshalling-river, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration-cli, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration-core, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-xnio-base, p-cpe:/a:redhat:enterprise_linux:eap7-jbossws-cxf, p-cpe:/a:redhat:enterprise_linux:eap7-jgroups, p-cpe:/a:redhat:enterprise_linux:eap7-undertow, p-cpe:/a:redhat:enterprise_linux:eap7-weld-core, p-cpe:/a:redhat:enterprise_linux:eap7-weld-core-impl, p-cpe:/a:redhat:enterprise_linux:eap7-weld-core-jsf, p-cpe:/a:redhat:enterprise_linux:eap7-weld-ejb

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2023/12/4

脆弱性公開日: 2023/4/18

CISA の既知の悪用された脆弱性の期限日: 2023/10/31

参照情報

CVE: CVE-2023-26048, CVE-2023-26049, CVE-2023-2976, CVE-2023-35887, CVE-2023-39410, CVE-2023-44487, CVE-2023-4503, CVE-2023-5685

CWE: 1286, 22, 400, 502, 552, 665, 770

RHSA: 2023:7637