リモート Redhat Enterprise Linux 7 ホストに、RHSA-2024:5856 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.1.7のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.6に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.1.7 リリースノート』を参照してください。

    セキュリティ修正プログラム:

    * undertow: EAP: フィールド名が RFC7230 に沿って解析されない [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils: apache-commons-beanutils: デフォルトで PropertyUtilsBean 内のクラスプロパティを抑制しない [eap-7.1.z] (CVE-2019-10086)

    * log4j: アプリケーションが JMSSink を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind: デフォルトの入力ミス処理により、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-14379)

    * undertow: HTTP/2: HEADERS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9514)

    * undertow: AJP ファイル読み取り/インクルージョンの脆弱性 [eap-7.1.z] (CVE-2020-1745)

    * undertow: HTTP/2: 大量のデータリクエストにより、サービス拒否が引き起こされる [eap-7.1.z] (CVE-2019-9511)

    * undertow: servletPath が不適切に正規化され、危険なアプリケーションマッピングが行われることによる、セキュリティバイパスの可能性 [eap-7.1.z] (CVE-2020-1757)

    * undertow: HTTPS でリッスンしている Undertow HTTP サーバーでのサービス拒否 (DoS) の可能性 [eap-7.1.z] (CVE-2019-14888)

    * log4j: チェーンソーログビューアーの安全でない逆シリアル化の欠陥 [eap-7.1.z] (CVE-2022-23307)

    * netty: HttpObjectDecoder.java が、Content-Length ヘッダーに 2 つ目の Content-Length ヘッダーを付加できる [eap-7.1.z]（CVE-2019-20445）

    * log4j: アプリケーションが JMSAppender を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2021-4104)

    * undertow: HTTP/2: SETTINGS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core: infinispan: ReflectionUtil クラスの invokeAccessibly メソッドを使用して、プライベートメソッドを呼び出すことが可能 [eap-7.1.z] (CVE-2019-10174)

    * log4j: アプリケーションが JDBCAppender を使用するように設定されているときの Log4j 1.xでの SQL インジェクション [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind: logback-core クラスを多態的な逆シリアル化からブロックできないことによる、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager: セキュリティマネージャーの認証バイパス (CVE-2019-14843)

    * HTTP/2: PING フレームを使用したフラッドにより、メモリが無制限に増加する (CVE-2019-9512)

    * netty: HTTP ヘッダーでコロンの前の空白を適切に処理しないことによる HTTP リクエストスマグリング (CVE-2019-16869)

    * jackson-databind: org.apache.log4j.receivers.db.* でのシリアル化ガジェット (CVE-2019-17531)

    * netty: HTTP リクエストスマグリング (CVE-2019-20444)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 7 : RHEL 7 上の Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)

critical Nessus プラグイン ID 206210

バージョン 1.1