Red Hat JBoss Enterprise Application Platform 6.4.5 を提供し、 2 つのセキュリティ問題と複数のバグを修正し、さまざまな強化を追加する、更新されたパッケージが、Red Hat Enterprise Linux 5 で使用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

特別に構成された意一連のクラスを含むオブジェクトの逆シリアル化時に、 Apache commons コレクションライブラリがコードの実行を許可していたことが分かりました。リモートの攻撃者がこの欠陥を悪用し、 commons コレクションライブラリを使用するアプリケーションの権限で任意のコードを実行する恐れがあります。(CVE-2015-7501)

commons-collections の欠陥の詳細については、以下を参照してください：https://access.redhat.com/solutions/2045023

JBoss EAP がシャットダウンを実行するユーザーを適切に認証していないことが判明しました。監視者、実装者、監査者の役割を持つリモートのユーザーがこの欠陥を利用し、管理者ユーザーにのみ制限されたアクションである EAP サーバーのシャットダウンを実行する恐れがあります。(CVE-2015-5304)

CVE-2015-5304 の問題は、Red Hat ミドルウェア品質エンジニアリングチームの Ladislav Thon 氏により発見されました。

このリリースは、Red Hat JBoss Enterprise Application Platform 6.4.4 を置き換え、バグ修正および拡張機能を提供します。
これらの変更についてのドキュメントは、「参照」セクションのリンクから入手できます。

Red Hat Enterprise Linux 5 での Red Hat JBoss Enterprise Application Platform 6.4 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることを推奨します。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

検出

RHEL 5：JBoss EAP（RHSA-2015:2538）

critical Nessus プラグイン ID 87192

変更ログが見つかりません