3 つのセキュリティ問題と 1 つのバグを修正する更新済みの tomcat6 パッケージが、Red Hat Enterprise Linux 5 および 6 上の Red Hat JBoss Web Server 2.0.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

Apache Tomcat が、チャンク転送エンコーディングを使用する際にチャンクサイズの長さを制限していないことが判明しました。リモートの攻撃者はこの欠陥を利用して、無制限の量のデータをストリーミングすることで Tomcat に対する DoS 攻撃（サービス拒否攻撃）を行うことができ、サーバーリソースの過剰消費を引き起こすことがあります。（CVE-2014-0075）

Apache Tomcat が、リクエストのコンテンツの長さのヘッダーを解析する際に、オーバーフローの値をチェックしていないことが見つかりました。リモートの攻撃者はこの欠陥を利用して、Content Length ヘッダーを適切に処理していたリバースプロキシ下の Tomcat サーバーにおいて HTTP リクエストスマグリング攻撃を行うことができます。（CVE-2014-0099）

Apache Tomcat の org.apache.catalina.servlets.DefaultServlet 実装により、提供された XSLT において XML 外部エンティティ（XXE）の定義が可能になっていたことが見つかりました。悪意のあるアプリケーションはこれを利用して、意図されたセキュリティ制限を回避し、機密情報を漏洩することができます。（CVE-2014-0096）

CVE-2014-0075 の問題は、Red Hat Product Security の David Jorm 氏によって発見されました。

この更新では以下のバグも修正されます。

Red Hat JBoss Web Server 2.0.1 の依存パッケージとして提供されている tomcat6-lib-6.0.37-19_patch_04.ep6.el5 パッケージには、commons-dbcp.jar のビルドが含まれており、これが正しくない java パッケージ名を使用するために、この依存パッケージを使用するアプリケーションが正しく動作しませんでした。この更新で、その java パッケージ名が修正されました。（BZ#1101287）

Red Hat JBoss Web Server 2.0.1 の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済み tomcat6 パッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするには、Red Hat JBoss Web Server プロセスを再起動する必要があります。

検出

RHEL 5/6：JBoss Web Server（RHSA-2014:0834）

medium Nessus プラグイン ID 76399

変更ログが見つかりません