リモート Redhat Enterprise Linux 6 ホストに、RHSA-2015:0847 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    XML 暗号化の Bleichenbacher 攻撃（CVE-2011-2487）に対する Apache WSS4J の以前の対応策が、試行される攻撃の失敗を判断する権限を攻撃者に与える例外を投げていました。これにより、WSS4J が攻撃に対して脆弱なまま放置されていました。
    元の欠陥により、リモートの攻撃者が対称鍵の平文フォーム全体を復元する可能性がありました。CVE-2015-0226

    Apache WSS4Jでは、XML署名ラッピング攻撃により、 requireSignedEncryptedDataElements構成プロパティをバイパスされる可能性があることがわかりました。リモートの攻撃者がこの欠陥を利用して、署名済みのリクエストの内容を改ざんする可能性があります。CVE-2015-0227

    以前のJkMountルールのサブツリーに対するJkUnmountルールが無視される可能性があることが発見されました。これにより、リモートの攻撃者は、通常はアクセスできないツリー内のプライベートアーティファクトにアクセスできる可能性があります。CVE-2014-8111

    PicketLinkのサービスプロバイダーとアイデンティティプロバイダーが特定のリクエストを処理する方法に、欠陥が見つかりました。リモートの攻撃者がこの欠陥を悪用し、PicketLink から被害者のアカウントにログインする可能性があります。CVE-2015-0277

    Red Hat Enterpriseアプリケーションプラットフォームが提供するコマンドラインインターフェイスが、安全でないデフォルトのファイル権限で.jboss-cli-historyという名前の履歴ファイルをユーザーのホームディレクトリに作成していることが判明しました。これにより、悪意のあるローカルユーザーが、他の方法ではアクセスできない情報を取得する可能性があります。CVE-2014-3586

    Red Hat の Ondrej Kotek 氏が、CVE-2015-0277 の問題を発見しました。

    このJBoss Enterprise Application Platformのリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、「参照」でリンクされている、『Red Hat JBoss Enterprise Application Platform 6.4.0リリースノート』から、間もなく使用できます。

    Red Hat Enterprise Linux 6 上で JBoss Enterprise Application Platform 6.4.0 を必要とする全ユーザーは、これらの新しいパッケージをインストールする必要があります。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 6Red Hat JBoss Enterprise Application Platform 6.4.0 更新重要度高RHSA-2015:0847

high Nessus プラグイン ID 82896

変更ログが見つかりません