複数のセキュリティ問題と複数のバグが修正される拡張機能が追加された更新済みの JBoss Enterprise Application Platform（JBEAP 4.3）パッケージが、JBEAP 4.3.0 CP07 として Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 5 の JBEAP のリリースは、 JBEAP 4.3.0.CP06 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されているバグ修正と拡張機能が含まれています。また、間もなく次の URL からアクセスできるようになります。
http://www.redhat.com/docs/en-US/JBoss_Enterprise_Application_Platform/

このリリースでは、次のセキュリティ問題も修正されます：

xml-security に、HMAC ベースの XML 署名の切り捨て形式の推奨最短長の確認の欠如が見つかりました。攻撃者が、この欠陥を利用して、XML 署名を偽造する特別に細工された XML ファイルを作成することが可能です。これにより、攻撃者が XML 署名仕様に基づく認証をバイパスすることが可能です。
(CVE-2009-0217)

Swatej Kumar 氏は、JBoss Application Server Web Console に、クロスサイトスクリプティング（XSS）の欠陥を発見しました。攻撃者はこれらの欠陥を利用して認証されていないユーザーへ誤解を招く情報を表示するができます。または、認証されていないユーザーのブラウザセッションのコンテキストで任意のスクリプティングコードを実行させることができます。(CVE-2009-2405)

Apache Xerces2 Java Parser が DTD のシステム識別子を処理したやり方で欠陥が見つかりました。リモートの攻撃者は、Apache Xerces2 Java パーサーを使用するプリケーションによって解析されるとサービス拒否（過度な CPU の使用によるアプリケーションのハングアップ）につながる可能性のある、特別に細工された XML ファイルを送りつけることがあります。(CVE-2009-2625)

twiddle コマンドラインクライアントに情報漏洩の欠陥が見つかりました。
JMX パスワードは、「twiddle.log」に対してプレーンテキストで保存されていました。
(CVE-2009-3554)

JMX Console に、XSS の欠陥が見つかりました。攻撃者はこの欠陥を利用して認証されていないユーザーへ誤解を招く情報を表示するができます。または、認証されていないユーザーのブラウザセッションのコンテキストで任意のスクリプティングコードを実行させることができます。(CVE-2009-1380)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 5 上の JBEAP 4.3 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

検出

RHEL 5：JBoss EAP（RHSA-2009:1649）

medium Nessus プラグイン ID 63905

変更ログが見つかりません