RHEL 5/6/7Red Hat JBoss Web Server 2.1.0 tomcatRHSA-2015:1622]

medium Nessus プラグイン ID 85441

概要

リモートの Red Hat ホストに、Red Hat JBoss Web Server 2.1.0 tomcat 用の 1 つ以上のセキュリティ更新がありません。

説明

リモート Redhat Enterprise Linux 5 / 6 / 7 ホストに、RHSA-2015:1622 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

Red Hat JBoss ウェブサーバーは、Java ウェブアプリケーションをホスティングするための完全に統合され認定されたコンポーネントのセットです。これは、Apache HTTP Server、Apache Tomcatサーブレットコンテナ、Apache Tomcatコネクタ(mod_jk)、JBoss HTTPコネクタ(mod_cluster)、Hibernate、Tomcat Nativeライブラリで構成されています。

表現言語リゾルバーが権限のあるコードセクション内で表現を評価していたことが見つかりました。悪意のあるWebアプリケーションがこの欠陥を利用し、セキュリティマネージャー保護をバイパスする可能性があります。 (CVE-2014-7810)

十分に大きなリクエスト本文をもつリクエストを処理後、Tomcat が接続を開いたままにすることがわかりました。リモートの攻撃者がこの欠陥を利用して利用可能な接続のプールを使い果たし、これから確立される Tomcat サーバーへのさらなる正当な接続を妨げる可能性があります。
(CVE-2014-0230)

Red Hat カスタマーポータルで提供された Red Hat JBoss Web Server 2.1.0 の全ユーザーは、この更新を適用することが推奨されます。この更新を有効にするには、Red Hat JBoss Web Server プロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

RHEL Red Hat JBoss Web Server 2.1.0 tomcat パッケージを RHSA-2015:1622のガイダンスに基づいて更新してください。

参考資料

http://www.nessus.org/u?35ecd97b

https://access.redhat.com/errata/RHSA-2015:1622

https://access.redhat.com/security/updates/classification/#moderate

https://bugzilla.redhat.com/show_bug.cgi?id=1191200

https://bugzilla.redhat.com/show_bug.cgi?id=1222573

プラグインの詳細

深刻度: Medium

ID: 85441

ファイル名: redhat-RHSA-2015-1622.nasl

バージョン: 2.18

タイプ: local

エージェント: unix

公開日: 2015/8/17

更新日: 2025/4/29

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

リスク情報

VPR

リスクファクター: Low

スコア: 3.6

Vendor

Vendor Severity: Moderate

CVSS v2

リスクファクター: Medium

基本値: 5

現状値: 3.7

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

CVSS スコアのソース: CVE-2014-7810

CVSS v3

リスクファクター: Medium

基本値: 5.3

現状値: 4.6

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:tomcat6, p-cpe:/a:redhat:enterprise_linux:tomcat6-servlet-2.5-api, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:tomcat6-admin-webapps, p-cpe:/a:redhat:enterprise_linux:tomcat6-maven-devel, p-cpe:/a:redhat:enterprise_linux:tomcat7-javadoc, p-cpe:/a:redhat:enterprise_linux:tomcat6-javadoc, p-cpe:/a:redhat:enterprise_linux:tomcat6-el-2.1-api, p-cpe:/a:redhat:enterprise_linux:tomcat7-log4j, p-cpe:/a:redhat:enterprise_linux:tomcat7-docs-webapp, p-cpe:/a:redhat:enterprise_linux:tomcat6-webapps, p-cpe:/a:redhat:enterprise_linux:tomcat7-admin-webapps, p-cpe:/a:redhat:enterprise_linux:tomcat7, p-cpe:/a:redhat:enterprise_linux:tomcat6-log4j, p-cpe:/a:redhat:enterprise_linux:tomcat7-el-2.2-api, cpe:/o:redhat:enterprise_linux:5, p-cpe:/a:redhat:enterprise_linux:tomcat7-webapps, p-cpe:/a:redhat:enterprise_linux:tomcat6-jsp-2.1-api, p-cpe:/a:redhat:enterprise_linux:tomcat6-docs-webapp, p-cpe:/a:redhat:enterprise_linux:tomcat7-maven-devel, p-cpe:/a:redhat:enterprise_linux:tomcat6-lib, p-cpe:/a:redhat:enterprise_linux:tomcat7-jsp-2.2-api, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:tomcat7-lib, p-cpe:/a:redhat:enterprise_linux:tomcat7-servlet-3.0-api

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2015/8/13

脆弱性公開日: 2015/6/7

参照情報

CVE: CVE-2014-0230, CVE-2014-7810

CWE: 770

RHSA: 2015:1622