リモート Redhat Enterprise Linux 5 ホストに、RHSA-2018:1450 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform は、JBoss Application Server をベースにした Java アプリケーション用のプラットフォームです。

    Red Hat JBoss Enterprise Application Platform 6.4.20のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.19に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。

    セキュリティ修正プログラム:

    * jackson-databind: 不完全なブラックリスト (CVE-2017-7525 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-15095)

    * jackson-databind: 不完全なブラックリスト (CVE-2017-15095 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-17485)

    * slf4j: EventData コンストラクターのシリアル化解除の脆弱性により、任意のコードが実行される可能性があります (CVE-2018-8088)

    * Apache ActiveMQ Artemis: 信頼できない入力値の逆シリアル化の脆弱性 (CVE-2016-4978)

    * solr: Index Replication の HTTP API によるディレクトリトラバーサル (CVE-2017-3163)

    * tomcat: セキュリティ制約内の空の文字列 URL の誤った処理による、リソースの意図しない公開の可能性 (CVE-2018-1304)

    * jackson-databind: CVE-2017-7525 の不完全な修正により、c3p0 ライブラリによる安全でないシリアル化が可能になります (CVE-2018-7489)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    Red Hat は、CVE-2017-15095を報告してくれた Liao Xinxi 氏 (NSFOCUS)、CVE-2017-17485を報告してくれた 360 の 0c0c0f、CVE-2018-8088を報告してくれた Chris McCown 氏に感謝の意を表します。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.4.20 (RHSA-2018:1450)

critical Nessus プラグイン ID 233045

バージョン 1.1