RHEL 6：JBoss EAP（RHSA-2015:1907）

medium Nessus プラグイン ID 86413

Language:

概要

リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。

説明

3 つのセキュリティの問題と複数のバグを修正し、さまざまな機能強化を追加する更新済みの jboss-ec2-eap パッケージが、Red Hat Enterprise Linux 6 の Red Hat JBoss Enterprise Application Platform 6.4.4 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

大きなヘッダーを含むリクエストを Web Console に送信すると、 HTTP 管理インターフェイスに Java OutOfMemoryError が生成されることがわかりました。攻撃者がこの欠陥を利用して、サービス拒否を引き起こす可能性があります。(CVE-2015-5220)

EAP 管理コンソールを IFRAME で開くことが可能で、これによりリクエストを傍受および操作できることが判明しました。攻撃者がこの欠陥を利用して、ユーザーを騙して Console で任意のアクションを実行させる可能性があります（クリックジャッキング）。
(CVE-2015-5178)

注：この問題を解決するには、Console で http リクエストが送信される方法を変更する必要がありました。この変更は、ユーザーに影響を与える可能性があります。この変更の詳細については、「参照」セクションでリンクされているリリースノートを参照してください。

マルチパート/フォームデータ送信を使用してファイルを EAP Web Console にアップロードした場合、Console がクロスサイトリクエスト偽造（CSRF）に対して脆弱であることがわかりました。つまり、攻撃者がこの欠陥を偽造攻撃とともに利用することで、認証されているインスタンスを変更する可能性があります。(CVE-2015-5188)

CVE-2015-5220 の問題は、Red Hat GSS Middleware Team の Aaron Ogburn 氏により発見されました。また、CVE-2015-5188 の問題は、Red Hat Middleware Engineering Team の Jason Greene 氏により発見されました。

* jboss-ec2-eap パッケージは、Amazon Web Services（AWS）Elastic Compute Cloud（EC2）で実行する Red Hat JBoss Enterprise Application Platform 用のスクリプトを提供します。この更新により、Red Hat JBoss Enterprise Application Platform 6.4.4 との互換性を確保するためにパッケージが更新されています。これらの変更についてのドキュメントは、「参照」セクションのリンクから入手できます。

Red Hat Enterprise Linux 6 上でRed Hat JBoss Enterprise Application Platform 6.4 を使用する jboss-ec2-eap の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

ソリューション

影響を受ける jboss-ec2-eap and / or jboss-ec2-eap-samples パッケージを更新してください。

参考資料

https://access.redhat.com/documentation/en-US/

https://access.redhat.com/errata/RHSA-2015:1907

https://access.redhat.com/security/cve/cve-2015-5220

https://access.redhat.com/security/cve/cve-2015-5188

https://access.redhat.com/security/cve/cve-2015-5178

プラグインの詳細

深刻度: Medium

ID: 86413

ファイル名: redhat-RHSA-2015-1907.nasl

バージョン: 2.10

タイプ: local

エージェント: unix

ファミリー: Red Hat Local Security Checks

公開日: 2015/10/16

更新日: 2019/10/24

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus