1 つのセキュリティ問題を修正する更新済みの mod_cluster のパッケージが、Red Hat Enterprise Linux 4、5、6 の JBoss Enterprise Application Platform 5.1.2 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

mod_cluster は、Apache HTTP Server（httpd）ベースのロードバランサです。これは、httpd からアプリケーションノードにリクエストを転送します。これはアプリケーションサーバーノードとの通信に、AJP、HTTP、HTTPS プロトコルを使用できます。

JBoss Enterprise Application Platform 5.1.2 リリース（RHSA-2011:1800、RHSA-2011:1799、RHSA-2011:1798）が、回帰を導入し、「ROOT」が mod_cluster 構成の「excludedContexts」リストにある場合でも、mod_cluster にサーバーの root コンテキストをデフォルトで登録し、漏洩させます。アプリケーションがルートコンテキストで展開された場合、リモートの攻撃者はこの欠陥を利用して、意図されたアクセス制限をバイパスでき、アプリケーションに対するアクセス権を取得できることがあります。(CVE-2012-1154)

警告：この更新を適用する前に、その他すべてのカスタマイズした構成ファイルとともに、 JBoss Enterprise Application Platform 「/server/[PROFILE]/deploy/」ディレクトリのバックアップを行ってください。

Red Hat Enterprise Linux 4、5、6 上の JBoss Enterprise Application Platform 5.1.2 のユーザーは、これらの更新済みのパッケージにアップグレードし、この問題を修正することが推奨されています。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

検出

RHEL 4 / 5 / 6：mod_cluster（RHSA-2012:1052）

medium Nessus プラグイン ID 64045

変更ログが見つかりません