Oracle GlassFish Server の複数の脆弱性（July 2014 CPU）

high Nessus プラグイン ID 76591

Language:

概要

リモートのWebサーバーは複数の脆弱性の影響を受けます。

説明

リモートホストで実行されているバージョンの GlassFish Server は、以下のコンポーネントの複数の脆弱性の影響を受けます。

- ネットワークセキュリティサービス（NSS）実装がデータ構造を確実に初期化できないことにより、サービス拒否、または機密情報の漏洩が発生することがあります。（CVE-2013-1739）

- Network Security Services（NSS）実装が TLS False Start 機能を適切に処理せず、中間者攻撃をできることがあります。
（CVE-2013-1740）

- Network Security Services（NSS）に、リモートの攻撃者がサービス拒否を実行できる、整数オーバーフローの欠陥が含まれています。（CVE-2013-1741）

- ファイル「ssl/ssl3con.c」の関数「Null_Cipher」に、無効なハンドシェイクパケットの処理に関連するエラーがあるため、任意のコードが実行される可能性があります。（CVE-2013-5605）

- ファイル「lib/certhigh/certvfy.c」の関数「CERT_VerifyCert」にエラーがあることにより、無効な証明書を有効なものとして処理できることがあります。
（CVE-2013-5606）

- Oracle Mojarra には、ユーザー指定の入力の不適切なサニタイズにより、クロスサイトスクリプティングの脆弱性が含まれています。これにより、攻撃者が影響を受けるサイトのコンテキスト内で任意のスクリプトコードを実行できます。（CVE-2013-5855）

- Network Security Services（NSS）で libssl に、セッションチケットの処理中に発生する競合状態が、含まれます。リモートの攻撃者がこの欠陥を悪用して、サービス拒否を引き起こす可能性があります。（CVE-2014-1490）

- ネットワークセキュリティサービス（NSS）がデフィーヘルマン鍵交換の公開値を適切に制限しないことにより、リモートの攻撃者が暗号保護機構をバイパスできます。（CVE-2014-1491）

- ワイルドカード証明書の IDNA ドメインプレフィックスを適切に処理していないため、ネットワークセキュリティサービス（NSS）ライブラリに問題が存在します。この問題により、中間者攻撃を招く可能性があります。（CVE-2014-1492）