複数のセキュリティ問題を修正する更新済みの JBoss Enterprise Application Platform 6.0.1 用 jbossweb パッケージが、Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Web は、JBoss Enterprise Application Platform における、 Apache Tomcat に基づいた Web コンテナです。JavaServer Pages（JSP）および Java サーブレットテクノロジーのための単一展開プラットフォームを提供します。

保護されているリソースにセッション識別子のないリクエストを送信すると、JBoss Web のクロスサイトリクエスト偽造（CSRF）防止フィルターがバイパスされる可能性があることが見つかりました。リモートの攻撃者が、この欠陥を利用して、 CSRF 防止フィルターに依存し、CSRF の内部緩和機能を含まないアプリケーションに対して、 CSRF 攻撃を実行することが可能でした。
(CVE-2012-4431)

JBoss Web ダイジェスト認証の実装に、複数の脆弱性が見つかりました。これは、ダイジェスト認証により通常提供されるセキュリティを効果的に低減させます。リモートの攻撃者はこれらの欠陥を利用して、反射攻撃を状況に応じて実行する可能性があります。（CVE-2012-5885、 CVE-2012-5886、CVE-2012-5887）

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。

Red Hat Enterprise Linux 5 および 6 上で JBoss Enterprise ApplicationPlatform 6.0.1 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

検出

RHEL 5 / 6：jbossweb（RHSA-2013:0647）

medium Nessus プラグイン ID 65562

変更ログが見つかりません