RHEL 6 用の Red Hat JBoss Enterprise Web Server 2.1 の更新が現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

このリリースは、Red Hat JBoss Web Server 2.1.0 を置き換えるもので、複数のバグ修正を含んでいます。これらの変更の最も重要な情報については、参照セクションでリンクされている、Red Hat JBoss Web Server 2.1.1 リリースノートを参照してください。

Red Hat Enterprise Linux 6 上の Red Hat JBoss Web Server 2.1.0 の全ユーザーは、 Red Hat JBoss Web Server 2.1.1 にアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

セキュリティ修正：

CGI スクリプトの HTTP_PROXY 環境変数を初期化するために、httpd が HTTP リクエストからの Proxy ヘッダーの値を使用していることが判明しました。これは、発信 HTTP リクエストのプロキシを構成するために、特定の HTTP クライアント実装により引き続き不適切に使用されていました。リモートの攻撃者が、この欠陥を利用して、悪意のある HTTP リクエストを通じて、CGI スクリプトにより実行される HTTP リクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-5387）

* OpenSSL の EVP_EncodeUpdate() 関数が非常に多量の入力データを解析する方法で、バッファオーバーフローにつながる整数オーバーフローの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して、OpenSSL を使用しているアプリケーションをクラッシュさせるか、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2016-2105）

* OpenSSL の EVP_EncryptUpdate() 関数が非常に多量の入力データを解析する方法で、バッファオーバーフローにつながる整数オーバーフローの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して、OpenSSL を使用しているアプリケーションをクラッシュさせるか、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2016-2106）

* サービスメッセージ（MCMP）を介して、Apache http サーバーが mod_cluster に特別に細工された文字列を送信することで、リモートでセグメンテーション違反を引き起こす可能性があることが発見されました。（CVE-2016-3110）

Red Hat は、CVE-2016-5387 を報告してくれた Scott Geary 氏（VendHQ）、CVE-2016-2105 および CVE-2016-2106 を報告してくれた OpenSSL プロジェクト、および CVE-2016-3110 を報告してくれた Michal Karm Babacek 氏に感謝の意を表します。
Upstream は、Guido Vranken 氏を CVE-2016-2105 および CVE-2016-2106 の最初の報告者として認めます。

検出

RHEL 6：JBoss Web Server（RHSA-2016:1649）

high Nessus プラグイン ID 93119

バージョン 2.17