更新済み Red Hat JBoss Web サーバー 3.0.2 パッケージが、 Red Hat Enterprise Linux 7 で利用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

十分に大きなリクエスト本文をもつリクエストを処理後、Tomcat が接続を開いたままにすることがわかりました。リモートの攻撃者がこの欠陥を利用して利用可能な接続のプールを使い果たし、 Tomcat サーバーへのさらなる正当な接続を妨げる恐れがあります。
(CVE-2014-0230)

チャンクされたエンコーディングを使用しているリクエストを処理する際に、 httpd が HTTP Trailer ヘッダーを処理する方法で、欠陥が見つかりました。悪意あるクライアントが、 Trailer ヘッダーを利用して、ヘッダー処理が他のモジュールにより行われた後に追加の HTTP ヘッダーを設定する可能性があります。これにより、たとえば、 mod_headers で定義されるヘッダー制限がバイパスされる可能性があります。
(CVE-2013-5704)

httpd が HTTP リクエストを解析し、チャンク転送エンコーディングを使用して応答する方法で、複数の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、特別に細工されたリクエストを作成し、 httpd に HTTP プロキシソフトウェアから異なる方法でデコードさせ、 HTTP リクエストスマグリング攻撃を引き起こす可能性があります。(CVE-2015-3183)

* この強化更新では、Red Hat Enterprise Linux 7 に Red Hat JBoss Web サーバー 3.0.2 パッケージを追加します。これらのパッケージは Red Hat JBoss Web サーバーの以前のバージョンに多くの強化機能を提供します。（JIRA#JWS-229）

Red Hat JBoss Web サーバーのユーザーは、これらの更新済みパッケージにアップグレードし、この拡張機能を追加することが推奨されます。

検出

RHEL 7：JBoss Web Server（RHSA-2015:2660）

medium Nessus プラグイン ID 87458

変更ログが見つかりません