複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#853551）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

検出

RHEL 5：JBoss EAP（RHSA-2012:1591）

critical Nessus プラグイン ID 64071

変更ログが見つかりません