3 つのセキュリティ問題と複数のバグを修正する更新済みの JBoss Enterprise Application Platform（JBEAP）4.2 パッケージが、JBEAP 4.2.0.CP09 として Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 5 の JBEAP のリリースは、 JBEAP 4.2.0.CP08 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JMX Console 構成は、GET および POST HTTP「動詞」を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの構成を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。
(CVE-2010-0738)

CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされてる、JBEAP リリースノートの「このリリースの修正済みの問題」セクション（JBPAPP-3952）の「セキュリティ」サブセクションを参照してください。リリースノートで言及されている変更を行う前に、 Red Hat JBoss サポートまで連絡して助言を求めてください。

Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、 Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、 GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された構成が含まれた、Web Console が含まれています。(CVE-2010-1428)

RHSA-2008:0827 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題（CVE-2008-3273）を修正しています。ところが、RHSA-2009:0348 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されている Web コンテンツについての詳細を取得できます。(CVE-2010-1429)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 5 上の JBEAP 4.2 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

検出

RHEL 5：JBoss EAP（RHSA-2010:0378）

medium Nessus プラグイン ID 63930

変更ログが見つかりません