2 つのセキュリティ問題を修正する更新済みの jbossweb のパッケージが、Red Hat Enterprise Linux 4 および 5 の JBoss Enterprise Application Platform 4.2 および 4.3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Web は、JBoss Enterprise Application Platform における、 Apache Tomcat に基づいた Web コンテナです。これは、JavaServer Pages（JSP）および Java Servlet テクノロジー、Microsoft .NET、PHP、および CGI 用の単一展開プラットフォームを提供します。

JBoss Web が HTTP リクエストの Transfer-Encoding ヘッダーを処理する方法に欠陥が見つかりました。特別に細工された HTTP リクエストによって、その後の全ての HTTP リクエストに関して、JBoss Web による返信の送信が阻止されたり、JBoss Web が切り捨てられた応答や、他のユーザーのリクエストに関連するデータが含まれる返信を返したりする可能性があります。(CVE-2010-2227)

JBoss Web が HTTP BASIC およびダイジェスト認証リクエストを作成する方法に、潜在的な軽微な情報漏洩が見つかりました。レルム名が指定されず、JBoss Web がプロキシ経由でアクセスされる構成では、デフォルトで生成されるレルムには、JBoss Web サーバーにリクエストを送信するためにプロキシが使用するホスト名とポートが含まれていました。(CVE-2010-1157)

JBoss Web のユーザーは、JBoss Web をバージョン 2.0.0.CP14 へアップグレードするこの更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。
この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

検出

RHEL 4 / 5：jbossweb（RHSA-2010:0584）

medium Nessus プラグイン ID 63942

変更ログが見つかりません