2 つのセキュリティ問題を修正する JBoss Enterprise Application Platform 5.2.0 の更新済み apache-cxf パッケージが、Red Hat Enterprise Linux 4、5、6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は Java アプリケーション用のプラットフォームで、JBoss Hibernate および JBoss Seam と JBoss Application Server を統合します。

Web サービスが、WS-Security 処理を適用するために WSS4JInInterceptor が有効な Apache CXF を使用して展開された場合、こうしたサービスに対する HTTP GET リクエストが、認証チェックを適用することなく常にアクセス権を付与されていました。URIMappingInterceptor は、シンプルな SOAP サービスに対して REST のようなアクセスを許可する、従来型のメカニズムです。リモートの攻撃者はこの欠陥を利用して、シンプルな SOAP サービスの REST のようなインターフェイスにアクセスすることができます。これにより、WSS4JInInterceptor によって適用されたセキュリティ制約をバイパスします。WSS4JInInterceptor が WS-Security プロセスを適用するために使用される場合にのみ、この欠陥は悪用できます。セキュリティを適用するための WS-SecurityPolicy を使用するサービスは影響を受けません。(CVE-2012-5633)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。Web サービスが各サービスオペレーションに一意の SOAPAction を使用する Apache CXF を介して露出されている場合、リモートの攻撃者が、同じパラメーターを許可された操作として受け入れたときに禁止されている操作を呼び出すために、SOAPAction なりすましを実行する可能性があります。WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。
(CVE-2012-3451)

注意：CVE-2012-3451 と CVE-2012-5633 の問題の影響を受けるのは、JBoss Web Services CXF がインストールされている環境のみです。

Red Hat は、CVE-2012-3451 を報告してくれた Apache CXF プロジェクトに感謝の意を表します。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストール内容（すべてのアプリケーションと構成ファイル）をバックアップしてください。

Red Hat Enterprise Linux 4、5、6 上で JBoss Enterprise Application Platform 5.2.0 の全ユーザーは、この更新済みパッケージへアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

検出

RHEL 4 / 5 / 6：JBoss EAP（RHSA-2013:0257）

medium Nessus プラグイン ID 64628

変更ログが見つかりません