Red Hat JBoss Web Server 3.0.3 が、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

Red Hat JBoss Web Server 3.0.3 のこのリリースは Red Hat JBoss Web Server 3.0.2 の代わりとなり、バグ修正や機能強化が含まれています。バグ修正や機能強化の内容は、「参照」でリンクされているリリースノートにドキュメント化されています。

セキュリティ修正：

セッション固定攻撃の欠陥が Tomcat が requestedSessionSSL フィールドをリサイクルする方法で見つかりました。少なくとも 1 つの Web アプリケーションが SSL セッション ID を HTTP セッション ID として使用するように構成されている場合、攻撃者が追加のリクエストに対して以前使用されたセッション ID を再利用する可能性があります。（CVE-2015-5346）

* CSRF の欠陥が Tomcat のマネージャーとホストマネージャーのアプリケーションのインデックスページで見つかりました。これらのアプリケーションは、認証されていないリクエストの結果としてリダイレクトを Web アプリケーションのルートに発行する際に、無効な CSRF トークンを含んでいました。攻撃者がこのトークンを利用し、CSRF 攻撃を実行する可能性があります。（CVE-2015-5351）

いくつかの Tomcat セッション維持メカニズムにより、リモートの認証されていないユーザーが意図された SecurityManager 制限をバイパスしたり、セッションに細工されたオブジェクトを配置する Web アプリケーションを介して権限のあるコンテキスト内で任意のコードを実行したりする可能性があります。（CVE-2016-0714）

* セキュリティマネージャーのバイパスの欠陥が Tomcat に見つかり、リモートの認証されたユーザーが任意のアプリケーションデータへアクセスし、結果としてサービス拒否を引き起こす可能性があります。（CVE-2016-0763）

* ディレクトリがセキュリティの制約により保護されている場合でも、Tomcat がディレクトリの存在を明らかにする可能性があることが判明しました。ユーザーがスラッシュで終了していない URL でディレクトリに対してリクエストを行う可能性があります。そして、Tomcat がそのリクエストをリダイレクトするかしないかに基づいて、そのディレクトリが存在したかどうかを確認する可能性があります。（CVE-2015-5345）

* セキュリティマネージャーが構成される際に、Tomcat が StatusManagerServlet を Web アプリケーションによりロードする可能性があることが判明しました。
これにより、Web アプリケーションが導入されたすべての Web アプリケーションをリストし、セッション ID など機密情報が漏洩することが可能でした。（CVE-2016-0706）

検出

RHEL 7：JBoss Web Server（RHSA-2016:1088）

high Nessus プラグイン ID 91246

変更ログが見つかりません