Red Hat JBoss CoreサービスパックApache Server 2.4.23を提供し、いくつかのバグを修正し、さまざまな拡張機能を追加した更新済みのパッケージが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.23パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Pack Apache Server 2.4.6を置き換え、バグ修正プログラムおよび拡張機能を提供します。このリリースに含まれる最も重要なバグ修正プログラムおよび拡張機能については、リリースノートを参照してください。セキュリティ修正プログラム：* OpenSSLが特定のASN.1データ構造をエンコードする方法に、欠陥が見つかりました。攻撃者はこの欠陥を利用して、特別に細工された証明書を作成し、OpenSSLにより検証または再エンコードされるときに、それをクラッシュさせるか、OpenSSLライブラリに対してコンパイルされたアプリケーションを実行しているユーザーのアクセス許可で、任意のコードを実行する可能性があります。（CVE-2016-2108）*仮想ホストマッピングルールを作成するために目的のバッファに書き込む前の長さのチェックでは、仮想ホスト名の長さが考慮されず、バッファオーバーフローの可能性がありました。（CVE-2016-6808）* OpenSSLがデジタル署名アルゴリズム（DSA）署名を計算するとき、常に定数時間演算を使用するとは限らないことがわかりました。ローカルの攻撃者がこの欠陥を悪用して、同じシステム上で実行されている別のユーザーまたはサービスに属するプライベートDSAキーを取得する可能性があります。（CVE-2016-2178）* OpenSSLがポインター演算を実行する方法に、複数の整数オーバーフローの欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、OpenSSLを使用するTLS/SSLサーバーまたはクライアントをクラッシュさせる可能性があります。（CVE-2016-2177）* JVMRouteパスが80文字を超える構成を指定すると、セグメンテーション違反が発生し、サーバーのクラッシュを引き起こすことがわかりました。（CVE-2016-4459）* mod_clusterロードバランサApache HTTP Serverモジュールのプロトコル解析ロジックでエラーが見つかりました。攻撃者がこの欠陥を悪用し、サービングhttpdプロセスにSegmentation Faultを引き起こす可能性があります。（CVE-2016-8612）Red Hatは、CVE-2016-2108を報告してくれたOpenSSLプロジェクトに感謝の意を表します。CVE-2016-4459の問題は、Robert Bost氏（Red Hat）により発見されました。Upstreamは、Huzaifa Sidhpurwala氏（Red Hat）、Hanno Bock氏、および David Benjamin氏（Google）をCVE-2016-2108の最初の報告者として認めます。

検出

RHEL 6：JBoss Core Services（RHSA-2017:0193）

critical Nessus プラグイン ID 96824

変更ログが見つかりません