2 つのセキュリティ問題を修正する更新済みの tomcat6 および tomcat7 のパッケージが、Red Hat Enterprise Linux 5、6 および 7 の Red Hat JBoss Web Server 2.1.0 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

表現言語リゾルバーが権限のあるコードセクション内で表現を評価していたことが見つかりました。悪意のある Web アプリケーションがこの欠陥を利用し、セキュリティマネージャー保護をバイパスする可能性があります。(CVE-2014-7810)

十分に大きなリクエスト本文をもつリクエストを処理後、Tomcat が接続を開いたままにすることがわかりました。リモートの攻撃者がこの欠陥を利用して利用可能な接続のプールを使い果たし、これから確立される Tomcat サーバーへのさらなる正当な接続を妨げる可能性があります。(CVE-2014-0230)

Red Hat カスタマーポータルで提供された Red Hat JBoss Web Server 2.1.0 の全ユーザーは、この更新を適用することが推奨されます。この更新を有効にするには、Red Hat JBoss Web Server プロセスを再起動する必要があります。

検出

RHEL 5/6：JBoss Web Server（RHSA-2015:1622）

high Nessus プラグイン ID 85441

変更ログが見つかりません