RHEL 8 : Red Hat JBoss Enterprise Application Platform 8.0.3 Security の更新 (重要) (RHSA-2024:5479)

critical Nessus プラグイン ID 205637

概要

リモートの Red Hat ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:5479 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

Red Hat JBoss Enterprise Application Platform 8 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 8.0.3のこのリリースは、Red Hat JBoss Enterprise Application Platform 8.0.2に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 8.0.3 リリースノート』を参照してください。

セキュリティ修正プログラム:

* cxf-core: Aegis データバインディングを使用した Apache CXF SSRF の脆弱性 [eap-8.0.z] (CVE-2024-28752)

* org.bouncycastle-bcprov-jdk18on: Bleichenbacher のタイミングバリアントに対して脆弱な BouncyCastle (Marvin Attack 氏) [eap-8.0.z] (CVE-2024-30171)

* netty-codec-http: 制限またはスロットリングなしのリソース割り当て [eap-8.0.z] (CVE-2024-29025)

* org.bouncycastle:bcprov-jdk18on: ScalarUtil クラスの検証での無限ループ ED25519 [eap-8.0.z] (CVE-2024-30172)

* org.bouncycastle:bcprov-jdk18on: org.bouncycastle: 細工された F2m パラメーターを含む EC 証明書をインポートすると、サービス拒否が発生する可能性 [eap-8.0.z] (CVE-2024-29857)

影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

https://access.redhat.com/security/updates/classification/#important

http://www.nessus.org/u?919aa761

https://bugzilla.redhat.com/show_bug.cgi?id=2270732

https://bugzilla.redhat.com/show_bug.cgi?id=2272907

https://bugzilla.redhat.com/show_bug.cgi?id=2276360

https://bugzilla.redhat.com/show_bug.cgi?id=2293025

https://bugzilla.redhat.com/show_bug.cgi?id=2293028

https://issues.redhat.com/browse/JBEAP-25224

https://issues.redhat.com/browse/JBEAP-26018

https://issues.redhat.com/browse/JBEAP-26696

https://issues.redhat.com/browse/JBEAP-26790

https://issues.redhat.com/browse/JBEAP-26791

https://issues.redhat.com/browse/JBEAP-26792

https://issues.redhat.com/browse/JBEAP-26802

https://issues.redhat.com/browse/JBEAP-26816

https://issues.redhat.com/browse/JBEAP-26823

https://issues.redhat.com/browse/JBEAP-26843

https://issues.redhat.com/browse/JBEAP-26886

https://issues.redhat.com/browse/JBEAP-26932

https://issues.redhat.com/browse/JBEAP-26948

https://issues.redhat.com/browse/JBEAP-26961

https://issues.redhat.com/browse/JBEAP-26962

https://issues.redhat.com/browse/JBEAP-26966

https://issues.redhat.com/browse/JBEAP-26986

https://issues.redhat.com/browse/JBEAP-27002

https://issues.redhat.com/browse/JBEAP-27019

https://issues.redhat.com/browse/JBEAP-27055

https://issues.redhat.com/browse/JBEAP-27090

https://issues.redhat.com/browse/JBEAP-27192

https://issues.redhat.com/browse/JBEAP-27194

https://issues.redhat.com/browse/JBEAP-27261

https://issues.redhat.com/browse/JBEAP-27262

https://issues.redhat.com/browse/JBEAP-27327

https://issues.redhat.com/browse/JBEAP-27356

http://www.nessus.org/u?f08317b3

https://access.redhat.com/errata/RHSA-2024:5479

プラグインの詳細

深刻度: Critical

ID: 205637

ファイル名: redhat-RHSA-2024-5479.nasl

バージョン: 1.1

タイプ: local

エージェント: unix

公開日: 2024/8/15

更新日: 2024/8/15

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.1

CVSS v2

リスクファクター: High

基本値: 7.1

現状値: 5.3

ベクトル: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:N

CVSS スコアのソース: CVE-2024-28752

CVSS v3

リスクファクター: Critical

基本値: 9.3

現状値: 8.1

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf-rt, p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf-tools, p-cpe:/a:redhat:enterprise_linux:eap8-netty-codec, p-cpe:/a:redhat:enterprise_linux:eap8-xsom, p-cpe:/a:redhat:enterprise_linux:eap8-netty-handler-proxy, p-cpe:/a:redhat:enterprise_linux:eap8-netty-resolver, p-cpe:/a:redhat:enterprise_linux:eap8-wsdl4j, p-cpe:/a:redhat:enterprise_linux:eap8-guava, p-cpe:/a:redhat:enterprise_linux:eap8-netty-buffer, p-cpe:/a:redhat:enterprise_linux:eap8-guava-libraries, p-cpe:/a:redhat:enterprise_linux:eap8-cxf-xjc-boolean, p-cpe:/a:redhat:enterprise_linux:eap8-jaxb-jxc, p-cpe:/a:redhat:enterprise_linux:eap8-cxf-xjc-dv, p-cpe:/a:redhat:enterprise_linux:eap8-netty-resolver-dns, p-cpe:/a:redhat:enterprise_linux:eap8-jboss-openjdk-orb, p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf, p-cpe:/a:redhat:enterprise_linux:eap8-cxf-xjc-runtime, p-cpe:/a:redhat:enterprise_linux:eap8-jaxb-runtime, cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:eap8-netty-transport, p-cpe:/a:redhat:enterprise_linux:eap8-apache-commons-beanutils, p-cpe:/a:redhat:enterprise_linux:eap8-rngom, p-cpe:/a:redhat:enterprise_linux:eap8-netty-codec-dns, p-cpe:/a:redhat:enterprise_linux:eap8-jaxb-xjc, p-cpe:/a:redhat:enterprise_linux:eap8-netty, p-cpe:/a:redhat:enterprise_linux:eap8-bouncycastle-pg, p-cpe:/a:redhat:enterprise_linux:eap8-bouncycastle, p-cpe:/a:redhat:enterprise_linux:eap8-netty-handler, p-cpe:/a:redhat:enterprise_linux:eap8-codemodel, p-cpe:/a:redhat:enterprise_linux:eap8-netty-transport-native-unix-common, p-cpe:/a:redhat:enterprise_linux:eap8-bouncycastle-pkix, p-cpe:/a:redhat:enterprise_linux:eap8-cxf-xjc-bug986, p-cpe:/a:redhat:enterprise_linux:eap8-netty-transport-classes-epoll, p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf-services, p-cpe:/a:redhat:enterprise_linux:eap8-bouncycastle-jmail, p-cpe:/a:redhat:enterprise_linux:eap8-bouncycastle-util, p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf-xjc-utils, p-cpe:/a:redhat:enterprise_linux:eap8-jaxb, p-cpe:/a:redhat:enterprise_linux:eap8-netty-codec-http, p-cpe:/a:redhat:enterprise_linux:eap8-netty-common, p-cpe:/a:redhat:enterprise_linux:eap8-txw2, p-cpe:/a:redhat:enterprise_linux:eap8-relaxng-datatype, p-cpe:/a:redhat:enterprise_linux:eap8-jakarta-servlet-api, p-cpe:/a:redhat:enterprise_linux:eap8-cxf-xjc-ts, p-cpe:/a:redhat:enterprise_linux:eap8-jaxb-core, p-cpe:/a:redhat:enterprise_linux:eap8-bouncycastle-prov, p-cpe:/a:redhat:enterprise_linux:eap8-netty-codec-socks

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2024/8/15

脆弱性公開日: 2024/3/15

参照情報

CVE: CVE-2024-28752, CVE-2024-29025, CVE-2024-29857, CVE-2024-30171, CVE-2024-30172

CWE: 20, 208, 770, 835, 918

RHSA: 2024:5479