3 つのセキュリティの問題とさまざまなバグを修正し、拡張機能を追加する更新 JBoss Enterprise Application Platform 6.1.0 パッケージが、現時点で Red Hat Enterprise Linux 6 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.1 の代替であり、バグ修正および拡張機能を含んでいます。これらの変更の内、最も重要なものに関する情報については 6.1.0 リリースノートを参照してください。以下の URL で近日中に公開されます。https://access.redhat.com/site/documentation/

セキュリティ修正：

XML 暗号化上位互換性の攻撃が、 Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、 CVE-2011-1096 や CVE-2011-2487 などの欠陥が現れ、暗号システやムや対称鍵から平文を復旧させることが可能です。(CVE-2012-5575)

注：CVE-2012-5575 を防ぐ自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用されたときだけ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

JBoss Web で実行されているアプリケーションがクッキーセッション追跡メソッドを使用すると、セッションの最初のリクエストを処理する際に、 org.apache.catalina.connector.Response.encodeURL() メソッドがクエリ文字列パラメーターとして追加された jsessionid のある URL を返しました。ユーザーの jsessionid を取得し、セッションをハイジャックするために中間者攻撃を実行することにより、あるいはログファイルから jsessionid を抽出することにより、攻撃者がこの欠陥を悪用することが可能です。セッション追跡メソッドはデフォルトでは使用されませんので注意してください。構成の必要があります。(CVE-2012-4529)

複数のアプリケーションが同じカスタム承認モジュールクラス名を使用し、固有の実装を提供した場合、ロードする最初のアプリケーションの実装が、同じカスタム承認モジュールクラス名を使用するすべての他のアプリケーションで使用されました。ローカルの攻撃者がこの欠陥を悪用して、カスタム承認モジュールの実装を提供する悪意あるアプリケーションを展開することが可能です。このアプリケーションは、攻撃者が規定するルールにしたがってユーザーアクセスを許可または却下します。(CVE-2012-4572)

Red Hat は、CVE-2012-5575 をレポートしてくれたルール大学ボーフムの Tibor Jager、Kenneth G. Paterson、Juraj Somorovsky に感謝の意を表します。
CVE-2012-4572 は、Red Hat JBoss EAP 品質工学チームの Josef Cacek により発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

Red Hat Enterprise Linux 6 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。
この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

検出

RHEL 6：JBoss EAP（RHSA-2013:0834）

medium Nessus プラグイン ID 66522

変更ログが見つかりません