RHEL 6：JBoss Web Server（RHSA-2016:1087）
high Nessus プラグイン ID 91245
Language:
概要
リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。説明
Red Hat JBoss Web Server 3.0.3 が、Red Hat Enterprise Linux 6 で現在利用可能です。Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。
Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。
Red Hat JBoss Web Server 3.0.3 のこのリリースは Red Hat JBoss Web Server 3.0.2 の代わりとなり、バグ修正や機能強化が含まれています。バグ修正や機能強化の内容は、「参照」でリンクされているリリースノートにドキュメント化されています。
セキュリティ修正：
セッション固定攻撃の欠陥が Tomcat が requestedSessionSSL フィールドをリサイクルする方法で見つかりました。少なくとも 1 つの Web アプリケーションが SSL セッション ID を HTTP セッション ID として使用するように構成されている場合、攻撃者が追加のリクエストに対して以前使用されたセッション ID を再利用する可能性があります。（CVE-2015-5346）
* CSRF の欠陥が Tomcat のマネージャーとホストマネージャーのアプリケーションのインデックスページで見つかりました。これらのアプリケーションは、認証されていないリクエストの結果としてリダイレクトを Web アプリケーションのルートに発行する際に、無効な CSRF トークンを含んでいました。攻撃者がこのトークンを利用し、CSRF 攻撃を実行する可能性があります。（CVE-2015-5351）
いくつかの Tomcat セッション維持メカニズムにより、リモートの認証されていないユーザーが意図された SecurityManager 制限をバイパスしたり、セッションに細工されたオブジェクトを配置する Web アプリケーションを介して権限のあるコンテキスト内で任意のコードを実行したりする可能性があります。（CVE-2016-0714）
* セキュリティマネージャーのバイパスの欠陥が Tomcat に見つかり、リモートの認証されたユーザーが任意のアプリケーションデータへアクセスし、結果としてサービス拒否を引き起こす可能性があります。（CVE-2016-0763）
* ディレクトリがセキュリティの制約により保護されている場合でも、Tomcat がディレクトリの存在を明らかにする可能性があることが判明しました。ユーザーがスラッシュで終了していない URL でディレクトリに対してリクエストを行う可能性があります。そして、Tomcat がそのリクエストをリダイレクトするかしないかに基づいて、そのディレクトリが存在したかどうかを確認する可能性があります。（CVE-2015-5345）
* セキュリティマネージャーが構成される際に、Tomcat が StatusManagerServlet を Web アプリケーションによりロードする可能性があることが判明しました。
これにより、Web アプリケーションが導入されたすべての Web アプリケーションをリストし、セッション ID など機密情報が漏洩することが可能でした。（CVE-2016-0706）
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://access.redhat.com/errata/RHSA-2016:1087
https://access.redhat.com/security/cve/cve-2015-5345
https://access.redhat.com/security/cve/cve-2015-5346
https://access.redhat.com/security/cve/cve-2015-5351
https://access.redhat.com/security/cve/cve-2016-0706
プラグインの詳細
深刻度: High
ID: 91245
ファイル名: redhat-RHSA-2016-1087.nasl
バージョン: 2.15
タイプ: local
エージェント: unix
公開日: 2016/5/19
更新日: 2021/2/5
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:httpd24, p-cpe:/a:redhat:enterprise_linux:httpd24-debuginfo, p-cpe:/a:redhat:enterprise_linux:httpd24-devel, p-cpe:/a:redhat:enterprise_linux:httpd24-manual, p-cpe:/a:redhat:enterprise_linux:httpd24-tools, p-cpe:/a:redhat:enterprise_linux:mod_ldap24, p-cpe:/a:redhat:enterprise_linux:mod_proxy24_html, p-cpe:/a:redhat:enterprise_linux:mod_security-jws3, p-cpe:/a:redhat:enterprise_linux:mod_security-jws3-debuginfo, p-cpe:/a:redhat:enterprise_linux:mod_session24, p-cpe:/a:redhat:enterprise_linux:mod_ssl24, p-cpe:/a:redhat:enterprise_linux:tomcat7, p-cpe:/a:redhat:enterprise_linux:tomcat7-admin-webapps, p-cpe:/a:redhat:enterprise_linux:tomcat7-docs-webapp, p-cpe:/a:redhat:enterprise_linux:tomcat7-el-2.2-api, p-cpe:/a:redhat:enterprise_linux:tomcat7-javadoc, p-cpe:/a:redhat:enterprise_linux:tomcat7-jsp-2.2-api, p-cpe:/a:redhat:enterprise_linux:tomcat7-lib, p-cpe:/a:redhat:enterprise_linux:tomcat7-log4j, p-cpe:/a:redhat:enterprise_linux:tomcat7-servlet-3.0-api, p-cpe:/a:redhat:enterprise_linux:tomcat7-webapps, p-cpe:/a:redhat:enterprise_linux:tomcat8, p-cpe:/a:redhat:enterprise_linux:tomcat8-admin-webapps, p-cpe:/a:redhat:enterprise_linux:tomcat8-docs-webapp, p-cpe:/a:redhat:enterprise_linux:tomcat8-el-2.2-api, p-cpe:/a:redhat:enterprise_linux:tomcat8-javadoc, p-cpe:/a:redhat:enterprise_linux:tomcat8-jsp-2.3-api, p-cpe:/a:redhat:enterprise_linux:tomcat8-lib, p-cpe:/a:redhat:enterprise_linux:tomcat8-log4j, p-cpe:/a:redhat:enterprise_linux:tomcat8-servlet-3.1-api, p-cpe:/a:redhat:enterprise_linux:tomcat8-webapps, cpe:/o:redhat:enterprise_linux:6
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2016/5/17
脆弱性公開日: 2016/2/25
参照情報
CVE: CVE-2015-5345, CVE-2015-5346, CVE-2015-5351, CVE-2016-0706, CVE-2016-0714, CVE-2016-0763
RHSA: 2016:1087