Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.20のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.19を置換するもの機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正と拡張機能が含まれています。セキュリティ修正プログラム：*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-7525に対する不完全な修正）（CVE-2017-15095）*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-15095に対する不完全な修正）（CVE-2017-17485）*slf4j：任意のコードが実行される可能性のあるEventDataコンストラクターの逆シリアル化の脆弱性（CVE-2018-8088）*Apache ActiveMQ Artemis：信頼できない入力値の逆シリアル化の脆弱性（CVE-2016-4978）*solr：Index ReplicationのHTTP APIによるディレクトリトラバーサル（CVE-2017-3163）* tomcat：セキュリティ制約の空の文字列URLが不適切に処理されるため、リソースが意図せず表示される脆弱性（CVE-2018-1304）*jackson-databind：c3p0ライブラリの安全ではないシリアル化が発生するCVE-2017-7525の不完全な修正（CVE-2018-7489）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2017-15095を報告してくれたLiao Xinxi氏（NSFOCUS）、CVE-2017-17485を報告してくれた360Guan Xing Shi Yan Shi の0c0c0f、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 6.4 Advanced Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 6.5 Advanced Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 6.6 Advanced Update SupportおよびRed Hat Enterprise Linux 6.6 Telco Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 6.7 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 7.2 Advanced Update Support、Red Hat Enterprise Linux 7.2 Telco Extended Update Support、Red Hat Enterprise Linux 7.2 Update Services for SAP Solutionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 7.3 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 7.4 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

dhcpの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。DHCP（動的ホスト構成プロトコル）は、IPネットワーク上の個々のデバイスがIPアドレス、サブネットマスク、ブロードキャストアドレスを含む、それぞれ固有のネットワーク構成情報を取得できるようにするプロトコルです。dhcpパッケージによって、ネットワーク上でDHCPを有効にして管理するために必要なリレーエージェントとISC DHCPサービスを提供されます。セキュリティ修正プログラム：*Red Hat Enterprise LinuxのDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、コマンドインジェクションの欠陥が見つかりました。悪意のあるDHCPサーバー、またはDHCP応答を偽装できるローカルネットワーク上の攻撃者はこの欠陥を利用し、NetworkManagerを使用してDHCPプロトコルによってネットワーク設定を取得するよう構成されているシステム上で、root権限を持つ任意のコマンドを実行する可能性があります。（CVE-2018-1111）Red Hatは、この問題を報告してくれたFelix Wilhelm氏（Googleセキュリティチーム）に感謝の意を表します。

jboss-ec2-eap用の更新プログラムが、Red Hat Enterprise Linux 6対応のRed Hat JBoss Enterprise Application Platform 6.4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。jboss-ec2-eapパッケージは、Amazon Web Services（AWS）Elastic Compute Cloud（EC2）で実行するRed Hat JBoss Enterprise Application Platform用のスクリプトを提供します。この更新プログラムにより、Red Hat JBoss Enterprise Application Platform 6.4.19との互換性を確保するためにjboss-ec2-eapパッケージが更新されています。セキュリティ修正プログラム：*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-7525に対する不完全な修正）（CVE-2017-15095）*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-15095に対する不完全な修正）（CVE-2017-17485）*slf4j：任意のコードが実行される可能性のあるEventDataコンストラクターの逆シリアル化の脆弱性（CVE-2018-8088）*Apache ActiveMQ Artemis：信頼できない入力値の逆シリアル化の脆弱性（CVE-2016-4978）*solr：Index ReplicationのHTTP APIによるディレクトリトラバーサル（CVE-2017-3163）* tomcat：セキュリティ制約の空の文字列URLが不適切に処理されるため、リソースが意図せず表示される脆弱性（CVE-2018-1304）*jackson-databind：c3p0ライブラリの安全ではないシリアル化が発生するCVE-2017-7525の不完全な修正（CVE-2018-7489）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2017-15095を報告してくれたLiao Xinxi氏（NSFOCUS）、CVE-2017-17485を報告してくれた360Guan Xing Shi Yan Shi の0c0c0f、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。

chromium-browserの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Chromiumは、WebKit（Blink）で稼働するオープンソースのWebブラウザーです。この更新プログラムで、Chromiumをバージョン66.0.3359.170にアップグレードします。セキュリティ修正プログラム：* chromium-browser：PDFiumでのヒープバッファオーバーフロー（CVE-2018-6120）* chromium-browser：拡張機能での権限昇格（CVE-2018-6121）* chromium-browser：V8における型の取り違え（Type Confusion）（CVE-2018-6122）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

qemu-kvmの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルベースの仮想マシン（KVM）は、さまざまなアーキテクチャにおけるLinux向けの完全な仮想化ソリューションです。qemu-kvmパッケージは、KVMを使用する仮想マシンを実行するためのユーザー空間コンポーネントを提供します。セキュリティ修正プログラム： * QEMU：cirrus：VGA表示の更新時のOOBアクセス（CVE-2018-7858）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたRoss Lagerwall氏（Citrix.com）氏に感謝の意を表します。

Firefoxの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザーです。この更新プログラムでは、Firefoxがバージョン52.8.0 ESRにアップグレードされます。セキュリティ修正プログラム：*Mozilla：Firefox 60およびFirefox ESR 52.8で修正されたメモリ安全性のバグ（CVE-2018-5150）*Mozilla：SkiaにおけるBackportの重要なセキュリティ修正（CVE-2018-5183）*Mozilla：SVGアニメーションやクリップパスによるメモリ解放後使用（use-after-free）（CVE-2018-5154）*Mozilla：SVGアニメーションやテキストパスによるメモリ解放後使用（use-after-free）（CVE-2018-5155）*Mozilla：保護されたPDFファイルを表示するためのPDFビューアーの同一オリジンバイパス（CVE-2018-5157）*Mozilla：悪意のあるPDFがJavaScriptをPDFビューアーに挿入する脆弱性（CVE-2018-5158）*Mozilla：Skiaの整数オーバーフローおよび領域外書き込み（CVE-2018-5159）*Mozilla：ユーザーの操作なしに軽量テーマをインストールされる脆弱性（CVE-2018-5168）*Mozilla：レガシー拡張機能を使用したUTF-8からUnicodeの文字列への変換中のバッファオーバーフロー（CVE-2018-5178）その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、Christoph Diehl 氏、Randell Jesup 氏、Tyson Smith 氏、Alex Gaynor 氏、Ronald Crane 氏、Julian Hector 氏、Kannan Vijayan 氏、Jason Kratzer 氏、Mozilla Developers 氏、Nils 氏、Wladimir Palant 氏、Ivan Fratric 氏、そして Root Object を最初の報告者として認識しています。

Firefoxの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザーです。この更新プログラムでは、Firefoxがバージョン52.8.0 ESRにアップグレードされます。セキュリティ修正プログラム：*Mozilla：Firefox 60およびFirefox ESR 52.8で修正されたメモリ安全性のバグ（CVE-2018-5150）*Mozilla：SkiaにおけるBackportの重要なセキュリティ修正（CVE-2018-5183）*Mozilla：SVGアニメーションやクリップパスによるメモリ解放後使用（use-after-free）（CVE-2018-5154）*Mozilla：SVGアニメーションやテキストパスによるメモリ解放後使用（use-after-free）（CVE-2018-5155）*Mozilla：保護されたPDFファイルを表示するためのPDFビューアーの同一オリジンバイパス（CVE-2018-5157）*Mozilla：悪意のあるPDFがJavaScriptをPDFビューアーに挿入する脆弱性（CVE-2018-5158）*Mozilla：Skiaの整数オーバーフローおよび領域外書き込み（CVE-2018-5159）*Mozilla：ユーザーの操作なしに軽量テーマをインストールされる脆弱性（CVE-2018-5168）*Mozilla：レガシー拡張機能を使用したUTF-8からUnicodeの文字列への変換中のバッファオーバーフロー（CVE-2018-5178）その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、Christoph Diehl 氏、Randell Jesup 氏、Tyson Smith 氏、Alex Gaynor 氏、Ronald Crane 氏、Julian Hector 氏、Kannan Vijayan 氏、Jason Kratzer 氏、Mozilla Developers 氏、Nils 氏、Wladimir Palant 氏、Ivan Fratric 氏、そして Root Object を最初の報告者として認識しています。

libvirtの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。libvirtライブラリには、Linuxなどのオペレーティングシステムの仮想化機能を管理、操作するためのC APIが含まれます。さらに、libvirtは、仮想化されたシステムをリモートで管理するためのツールも提供します。セキュリティ修正プログラム：* libvirt：qemuMonitorIORead()メソッドによるリソースの枯渇（CVE-2018-5748）* libvirt：QEMUゲストエージェントによってトリガーされたCVE-2018-5748の不完全な修正（CVE-2018-1064）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。CVE-2018-1064の問題はDaniel P. Berrange氏（Red Hat）によって発見され、CVE-2018-5748の問題はDaniel P. Berrange氏（Red Hat）とPeter Krempa氏（Red Hat）によって発見されました。バグ修正プログラム：*以前は、新しいデバイスがゲストに接続されたときに、一意でないデバイスの起動順序のチェックが既存のデバイスの更新を適切に処理しませんでした。その結果、指定された起動順序でのデバイス更新は失敗しました。この更新プログラムでは、重複チェックによって正しく更新が検出され、元のデバイスは無視されるため、誤った競合が報告されることはありません。その結果、起動順序付きのデバイスの更新は成功します。（BZ#1557922）* Red Hat Enterprise Linux 7.5では、カーネルCGroup検出の変更により、SCSIパススルーを有効にしたゲストの起動に失敗しました。この更新プログラムでは、libvirtは依存関係を取り出し、それらをデバイスCGroupに追加します。その結果、影響を受けるゲストは現在、期待どおりに開始されます。（BZ#1564996）* libvirtのVMXパーサーは5つ以上のネットワークインタフェースを解析しませんでした。その結果、esxドライバーはESXiを実行しているゲスト用に5つ以上のネットワークインターフェイスカード（NIC）を公開しませんでした。この更新プログラムでは、VMXパーサーは.vmxファイル内の使用可能なすべてのNICを解析します。その結果、libvirtはESXiを実行しているゲストのすべてのNICを報告します。（BZ#1566524）* 以前は、32文字を超えるPTYデバイスのユーザーエイリアスはサポートされていませんでした。その結果、ドメインに32文字以上のユーザーエイリアスを持つPTYデバイスが含まれていた場合、ドメインは起動しませんでした。この更新プログラムでは、静的バッファが動的バッファに置き換えられました。その結果、PTYデバイスのユーザーエイリアスの長さが32文字を超えていても、ドメインが開始されます。（BZ＃1566525）

389-ds-baseの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を提供する共通脆弱性評価システム（CVSS）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。389 Directory Serverは、LDAPバージョン3（LDAPv3）に準拠しているサーバーです。基本パッケージには、LDAP（Lightweight Directory Access Protocol）サーバー、サーバー管理用のコマンドラインユーティリティが含まれています。セキュリティ修正プログラム：*389-ds-base：ldapsearchの大きなフィルター値によるns-slapdクラッシュ（CVE-2018-1089）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたGreg Kubok氏に感謝の意を表します。バグ修正プログラム：*Directory Serverのインデックス作成タスクには、タスクが完了し、データベースが更新を受信する準備が整っているかどうかを監視するnsTaskStatus属性が含まれています。この更新の前に、サーバーによってデータベースが更新を受信する準備が整う前にインデックス作成が完了した値が設定されました。nsTaskStatusを監視するアプリケーションは、インデックス作成が完了するとすぐ、データベースが準備完了する前に更新の送信を開始する可能性があります。その結果、サーバーはUNWILLING_TO_PERFORMエラーで更新を拒否しました。問題は修正されました。その結果、nsTaskStatus属性は、データベースが更新を受信する準備が整った後にインデックス作成が完了したことを示しています。（BZ#1553605）* 以前、Directory Serverは、最初の操作、バインド、接続が開始された時期を記録していませんでした。結果として、サーバーは認証されたクライアントに、特定の状況において匿名のリソース制限を適用していました。この更新プログラムでは、Directory Serverは認証されたクライアント接続を適切にマーキングします。その結果、正しいリソース制限が適用され、認証されたクライアントは匿名のリソース制限によってランダムに制限されなくなりました。（BZ#1554720）* デバッグレプリケーションログインが有効のとき、Directory Serverにより、レプリカ更新ベクトル（RUV）の更新に失敗したというエラーが、実際には成功しているにもかかわらず誤って記録されました。問題は修正され、RUVの更新が成功した場合、サーバーはエラーを記録しなくなりました。（BZ#1559464）* このアップデートでは、ds-replcheckユーティリティに-Wオプションが追加されました。このオプションを使用すると、ds-replcheckはOpenLDAPユーティリティと同様にパスワードを要求します。その結果、-Wオプションを使用するとき、シェルの履歴ファイルにパスワードが格納されません。（BZ#1559760）* 管理者がDirectory Server内のグループをあるサブツリーから別のサブツリーに移動すると、memberOfプラグインは古い値のmemberOf属性を削除し、影響を受けるユーザエントリに新しいグループの識別名（DN）を持つ新しいmemberOf属性を追加します。以前は、古いサブツリーがmemberOfプラグインのスコープ内にない場合、値が存在しなかったため古いmemberOf属性の削除は失敗しました。その結果、プラグインは新しいmemberOf値を追加せず、ユーザーエントリに誤ったmemberOf値が含まれていました。この更新プログラムでは、プラグインは古い値を削除するときにリターンコードをチェックするようになりました。リターンコードが 「no such value」の場合、プラグインは新しいmemberOf値のみを追加します。その結果、memberOf属性情報は正しくなります。（BZ#1559764）* Directory Serverレプリケーショントポロジでは、タイムスタンプに基づく変更シーケンス番号（CSN）を使用して更新プログラムが管理されます。新しいCSNは、相対更新ベクトル（RUV）内に存在する最も高いCSNよりも高い必要があります。サーバーが最新のCSNと同じ秒で新しいCSNを生成する場合、シーケンス番号はそれがより高くなるように増加します。ただし、最新のCSNと新しいCSNが同一であれば、シーケンス番号は増加しませんでした。この状況では、新しいCSNは、レプリカIDを除いてほとんどの最新のものと同一でした。その結果、ディレクトリの特定の状況の新しい更新は、最新の更新プログラムよりも古いものでした。この更新プログラムでは、シーケンス番号が最新のものよりも小さいか等しい場合、Directory ServerはCSNを増加させます。その結果、新しい更新プログラムは最新のデータより古いとみなされなくなりました。（BZ＃1563079）

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:1374 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    kernel-alt パッケージは、Linux カーネルバージョン 4.x を提供します。

    セキュリティ修正プログラム：

    * kernel: ptrace() の誤ったエラー処理により破損と DoS が発生しています (CVE-2018-1000199)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    Red Hat は、この問題を報告してくれた Andy Lutomirski 氏に感謝の意を表します。

    バグ修正プログラム:

    * 以前は、インフライトの COMMIT リクエストが既にある場合でも nfs_commit_inode() 関数は FLUSH_SYNC の引数を考慮せず終了していました。その結果、mmap() システム呼び出しは NFS で EBUSY エラーを返すことがあり、NFS のライトバックの間 CPU ソフトロックアップが発生しました。この更新プログラムは、FLUSH_SYNC を考慮するよう nfs_commit_inode() を修正しました。その結果、mmap() は EBUSY を返さなくなり、NFS ライトバックの間に CPU ソフトロックアップが発生することはなくなりました。(BZ#1559869)

    * 最近の IBM z Systems ハードウェアには、時刻クロックへの拡張機能が含まれ、オーバーフローの発生を回避するため 2042 年以降も動作するようになっています。ただし、KVM ハイパーバイザーはこれまで、拡張機能を正しく処理できなかったため、ゲストのカーネルが時刻の拡張機能をサポートしている場合、ゲストがフリーズする可能性がありました。この更新プログラムでは、KVM ハイパーバイザーの拡張機能のサポートが追加され、これをサポートする KVM ゲストがフリーズすることはなくなりました。(BZ#1559871)

    * この更新プログラムは、カーネルのメルトダウン脆弱性 (CVE-2017-5754) の RFI Flush 軽減メカニズムを無効化する機能を提供します。メルトダウンの影響を軽減するこのパッチは、提供するメカニズムを有効にすると性能に負の影響を与える可能性があり、同時に、お使いのシステムが他の手段で保護されている場合はこの軽減策は不要である可能性もあります。この脆弱性の軽減は既定で有効化されており、手動で無効化する必要があります。これにより、システムの性能はオリジナルのレベルに復元されますが、システムはメルトダウンに対し脆弱なままとなります。RFI Flush を無効化する方法についての説明およびその他の情報は、次の Red Hat Knowledgebase の記事に記載されています：
    https://access.redhat.com/articles/3311301 (BZ#1561463)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

qemu-kvm-rhevの更新プログラムが、Red Hat Enterprise Linux 7のRed Hat Virtualization 4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。KVM（カーネルベース仮想マシン）は、さまざまなアーキテクチャのLinux向けの完全な仮想化ソリューションです。qemu-kvm-rhevパッケージは、Red Hat製品が管理する環境において、KVMを使用する仮想マシンを実行するユーザー空間コンポーネントを提供します。セキュリティ修正プログラム：*QEMU：i386：カーネルイメージを読み込むときのマルチブートOOBアクセス（CVE-2018-7550）*QEMU：cirrus：VGA表示の更新時のOOBアクセス（CVE-2018-7858）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2018-7550を報告してくれたCyrille Chatras氏（Orange.com）とCERT-CC（Orange.com）、CVE-2018-7858を報告してくれたRoss Lagerwall氏（Citrix.com）に感謝の意を表します。バグ修正プログラム：*特定のRed Hat Virtualization（RHV）のゲスト構成では、仮想のパススルーデバイスが適切に削除できませんでした。QEMUエミュレータのリファレンスカウントリークが削除され、影響を受けるデバイスが確実に削除されるようになりました。（BZ#1555213）以前は、「--preallocation=full」オプションを使用するrawディスクイメージのサイズを変更できない場合がありました。この問題は修正され、発生しなくなりました。（BZ#1566587）*virtio-blkとirtio-scsiのサービスにおける競合状態により、シャットダウン時にQEMUエミュレータが予期せず終了することがありました。競合状態が解消され、QEMUは正常に終了するようになりました。（BZ#1566586）*この更新より前は、不適切なimage-seekingアルゴリズムにより、RHV GUIを使用するゲストのスナップショットを削除できない場合がありました。この更新により基礎となるコードが修正され、RHVのゲストのスナップショットが適切に削除できるようになりました。（BZ#1566369）

kernel-rtの更新プログラムが、Red Hat Enterprise MRG 2で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。kernel-rtパッケージは、リアルタイムLinuxカーネルを提供します。これにより、適切に設定することが要求されるシステムの微調整が可能になります。セキュリティ修正プログラム：* Kernel：例外処理のエラーによりDoSが発生（CVE-2018-8897）* Kernel：ptrace()の誤ったエラー処理により破損とDoSが発生（CVE-2018-1000199）影響、CVSSスコア、およびその他の関連情報を含むセキュリティ問題の詳細については、「参考」セクションに記載されているCVEのページを参照してください。Red HatはCVE-2018-8897を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏、CVE-2018-1000199を報告してくれたAndy Lutomirski氏に感謝の意を表します。

flash-pluginの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。flash-pluginパッケージには、Mozilla Firefoxと互換性のあるAdobe Flash Player Webブラウザープラグインが含まれています。この更新プログラムで、Flash Playerをバージョン29.0.0.171にアップグレードします。セキュリティ修正プログラム：* flash-plugin：任意のコードが実行される脆弱性（APSB18-16）（CVE-2018-4944）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

389-ds-baseの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重大度評価を提供する共通脆弱性評価システム（CVSS）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。389 Directory Serverは、LDAPバージョン3（LDAPv3）に準拠しているサーバーです。基本パッケージには、LDAP（Lightweight Directory Access Protocol）サーバー、サーバー管理用のコマンドラインユーティリティが含まれています。セキュリティ修正プログラム：*389-ds-base：ldapsearchの大きなフィルター値によるns-slapdクラッシュ（CVE-2018-1089）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたGreg Kubok氏に感謝の意を表します。

kernel-rtの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。kernel-rtパッケージは、リアルタイムLinuxカーネルを提供します。これにより、適切に設定することが要求されるシステムの微調整が可能になります。セキュリティ修正プログラム：* Kernel：KVM：例外処理のエラーによって誤ったデバッグスタック値が生じます（CVE-2018-1087）* Kernel:例外処理のエラーによってDoSが引き起こされます（CVE-2018-8897）* Kernel：ipsec：xfrm：メモリ解放後使用（use-after-free）によって権限昇格が引き起こされる可能性があります（CVE-2017-16939）* kernel：netfilter/ebtables.cのebt_entry structでuserlandオフセットを介した領域外書き込み（CVE-2018-1068）* kernel：ptrace()の誤ったエラー処理により破損とDoSが発生（CVE-2018-1000199）影響、CVSSスコア、およびその他の関連情報を含むセキュリティ問題の詳細については、「参考」セクションに記載されているCVEのページを参照してください。Red HatはCVE-2018-1087とCVE-2018-1000199を報告してくれたAndy Lutomirski氏とCVE-2018-8897を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏に感謝の意を表します。バグ修正プログラム：* kernel-rtパッケージが、3.10.0-862.2.3ソースツリーにアップグレードされ、以前のバージョンに対して多数のバグ修正プログラムを提供します。（BZ#1549768）

カーネルの更新プログラムが、Red Hat Enterprise Linux 6.6 Advanced Update SupportおよびRed Hat Enterprise Linux 6.6 Telco Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。［2018年5月10日更新］Red Hat Enterprise Linux 6.6 Advanced Update SupportおよびRed Hat Enterprise Linux 6.6 Telco Extended Update Supportにはx86 32ビットアーキテクチャ向けのサポートはないため、CVE-2017-5754 x86（32ビット）の軽減への参照は削除されました。その結果、このエラッタの影響評価は重要度高から重要度中に変更されました。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：* Kernel：例外処理のエラーがDoSを引き起こします（CVE-2018-8897）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏に感謝の意を表します。バグ修正プログラム：* NFSv3クライアントがエクスポートされたファイルシステムのサブディレクトリをマウントした場合、キャッシュをクリアした後でも、エクスポートをホストしているマウントへのディレクトリエントリが不適切に保持されていました。したがって、umountコマンドでサブディレクトリのマウントを解除しようとすると、EBUSYエラーにより失敗していました。この更新プログラムでは、基礎となるソースコードが修正され、説明されている状況で期待どおりにアンマウント操作ができるようになりました。（Z#1538588）*カーネルビルドの要件は、RetpolinesをサポートするGCC（GNU Compiler Collection）コンパイラーバージョンに更新されました。Retpolinesメカニズムは、基礎となるハードウェアの特定の知識を活用して、CVE-2017-5715で説明されているSpectreバリアント2脆弱性とも呼ばれる分岐ターゲットインジェクションを軽減するソフトウェア構成です。（BZ#1554254）

カーネルの更新プログラムが、Red Hat Enterprise Linux 6.5 Advanced Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。［2018年5月10日更新］Red Hat Enterprise Linux 6.5 Advanced Update Supportにはx86 32ビットアーキテクチャ向けのサポートはないため、CVE-2017-5754 x86（32ビット）の軽減への参照は削除されました。その結果、このエラッタの影響評価は重要度高から重要度中に変更されました。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：* Kernel：例外処理のエラーがDoSを引き起こします（CVE-2018-8897）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏に感謝の意を表します。バグ修正プログラム：*カーネルビルドの要件は、RetpolinesをサポートするGCC（GNU Compiler Collection）コンパイラーバージョンに更新されました。Retpolinesメカニズムは、基礎となるハードウェアの特定の知識を活用して、CVE-2017-5715で説明されているSpectreバリアント2脆弱性とも呼ばれる分岐ターゲットインジェクションを軽減するソフトウェア構成です。（BZ#1554256）

カーネルの更新プログラムが、Red Hat Enterprise Linux 6.4 Advanced Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。［2018年5月10日更新］Red Hat Enterprise Linux 6.4 Advanced Update Supportにはx86 32ビットアーキテクチャ向けのサポートはないため、CVE-2017-5754 x86（32ビット）の軽減への参照は削除されました。その結果、このエラッタの影響評価は重要度高から重要度中に変更されました。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：* Kernel：例外処理のエラーがDoSを引き起こします（CVE-2018-8897）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏に感謝の意を表します。バグ修正プログラム：*カーネルビルドの要件は、RetpolinesをサポートするGCC（GNU Compiler Collection）コンパイラーバージョンに更新されました。Retpolinesメカニズムは、基礎となるハードウェアの特定の知識を活用して、CVE-2017-5715で説明されているSpectreバリアント2脆弱性とも呼ばれる分岐ターゲットインジェクションを軽減するソフトウェア構成です。（BZ#1554251）

カーネルの更新プログラムが、Red Hat Enterprise Linux 7.3 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：*カーネル：KVM：例外処理のエラーにより誤ったデバッグスタック値が発生（CVE-2018-1087）*カーネル：例外処理のエラーによりDoSが発生（CVE-2018-8897）*カーネル：ptrace()の誤ったエラー処理により破損とDoSが発生（CVE-2018-1000199）影響、CVSSスコア、およびその他の関連情報を含むセキュリティ問題の詳細については、「参考」セクションに記載されているCVEのページを参照してください。Red HatはCVE-2018-1087とCVE-2018-1000199を報告してくれたAndy Lutomirski氏とCVE-2018-8897を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏に感謝の意を表します。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:1347 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Kernel: KVM: 例外処理のエラーによって誤ったデバッグスタック値が生じます (CVE-2018-1087)

  - Kernel: 例外処理のエラーにより DoS が発生 (CVE-2018-8897)

  - kernel: ptrace() の誤ったエラー処理により破損と DoS が発生しています (CVE-2018-1000199)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

カーネルの更新プログラムが、Red Hat Enterprise Linux 6.7 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：*hw：cpu：投機的実行の違反アクセスの処理（CVE-2017-5754、x86 32-bit）* Kernel：例外処理のエラーによりDoSが発生（CVE-2018-8897）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2017-5754を報告してくれたGoogle Project Zero、CVE-2018-8897を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏に感謝の意を表します。バグ修正プログラム：*カーネルビルドの要件は、RetpolinesをサポートするGCC（GNU Compiler Collection）コンパイラーバージョンに更新されました。Retpolinesメカニズムは、基礎となるハードウェアの特定の知識を活用して、CVE-2017-5715で説明されているSpectreバリアント2脆弱性とも呼ばれる分岐ターゲットインジェクションを軽減するソフトウェア構成です。（BZ#1554253）

カーネルの更新プログラムが、Red Hat Enterprise Linux 7.4 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：*カーネル：KVM：例外処理のエラーにより誤ったデバッグスタック値が発生（CVE-2018-1087）*カーネル：例外処理のエラーによりDoSが発生（CVE-2018-8897）*カーネル：ptrace()の誤ったエラー処理により破損とDoSが発生（CVE-2018-1000199）影響、CVSSスコア、およびその他の関連情報を含むセキュリティ問題の詳細については、「参考」セクションに記載されているCVEのページを参照してください。Red HatはCVE-2018-1087とCVE-2018-1000199を報告してくれたAndy Lutomirski氏とCVE-2018-8897を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏に感謝の意を表します。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2018:1319 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - hw: cpu: 投機実行分岐ターゲットインジェクション (CVE-2017-5715)

  - hw: cpu: 投機的実行の違反アクセスの処理 (CVE-2017-5754)

  - kernel: nfsd: 長い RPC 応答の不適切な処理 (CVE-2017-7645)

  - kernel: DCCP ソケットでのメモリ解放後使用 (Use After Free) の脆弱性 (CVE-2017-8824)

  - kernel: v4l2: 権限昇格を許可するメモリアクセス保護メカニズムの無効化 (CVE-2017-13166)

  - kernel: netfilter: net/netfilter/xt_TCPMSS.c の tcpmss_mangle_packet 関数でのメモリ解放後使用 (Use After Free) (CVE-2017-18017)

  - kernel: EFS 要素におけるスタック情報の漏洩 (CVE-2017-1000410)

  - Kernel: 例外処理のエラーにより DoS が発生 (CVE-2018-8897)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

カーネルの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。カーネルパッケージにはLinuxオペレーティングシステムのコアであるLinuxカーネルが含まれています。セキュリティ修正プログラム：*カーネル：KVM：例外処理のエラーにより誤ったデバッグスタック値が発生（CVE-2018-1087）*カーネル：例外処理のエラーによりDoSが発生（CVE-2018-8897）*カーネル：ipsec：xfrm：潜在的な権限昇格につながる可能性のあるメモリ解放後使用（use-after-free）（CVE-2017-16939）*カーネル：netfilter/ebtables.cのebt_entry構造体のユーザーランドオフセットを通じた領域外書き込み（CVE-2018-1068）*カーネル：ptrace()：破損やDoSにつながる可能性のある誤ったエラー処理（CVE-2018-1000199）*カーネル：POWER9ホストのコアダンプ中のゲストカーネルのクラッシュ（CVE-2018-1091）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red HatはCVE-2018-1087とCVE-2018-1000199を報告してくれたAndy Lutomirski氏とCVE-2018-8897を報告してくれたNick Peterson氏（Everdox Tech LLC）とAndy Lutomirski氏に感謝の意を表します。バグ修正プログラム：これらの更新済みカーネルパッケージには、多数のバグ修正も含まれています。スペースの関係上、これらのバグ修正がすべてこのアドバイザリに文書化されているわけではありません。関連するナレッジ記事: https://access.redhat.com/ articles/3431641 のバグ修正の説明を参照してください。

chromium-browserの更新プログラムが、Red Hat Enterprise Linux 6 Supplementaryで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Chromiumは、WebKit（Blink）で稼働するオープンソースのWebブラウザーです。この更新プログラムで、Chromiumをバージョン66.0.3359.139にアップグレードします。セキュリティ修正プログラム：* chromium-browser：メディアキャッシュのメモリ解放後使用（use-after-free）（CVE-2018-6118）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:1304 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - golang: C コンパイラーのオプションを介した「go get」中の任意のコードの実行 (CVE-2018-6574)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

redhat-release-virtualization-hostとredhat-virtualization-hostの更新プログラムがRed Hat Enterprise Linux 7のRed Hat Virtualization 4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。redhat-virtualization-hostパッケージは、Red Hat Virtualization Hostを提供します。これらのパッケージには、redhat-release-virtualization-host、ovirt-node、rhev-hypervisorが含まれています。Red Hat Virtualization Hosts（RHVH）は、仮想マシンをホストするために必要なパッケージのみを備えたRed Hat Enterprise Linuxの特別なビルドを使用してインストールされています。RHVHには、ホストのリソースを監視し管理タスクを実行するためのCockpitユーザーインターフェイス機能があります。ovirt-node-ngパッケージは、Red Hat Virtualization Hostを提供します。これらのパッケージには、redhat-release-virtualization-host、ovirt-node、rhev-hypervisorが含まれています。Red Hat Virtualization Hosts（RHVH）は、仮想マシンをホストするために必要なパッケージのみを備えたRed Hat Enterprise Linuxの特別なビルドを使用してインストールされています。RHVHには、ホストのリソースを監視し管理タスクを実行するためのCockpitユーザーインターフェイス機能があります。セキュリティ修正プログラム：* glusterfs：スナップショットのスケジューリングが有効時のgluster_shared_storage経由の権限昇格（CVE-2018-1088）* CVE-2018-1088の修正プログラムによって「auth.allow」をglusterfsサーバーに実装する方法に新たな脆弱性が生じることがわかりました。認証されていないglusterクライアントが、glusterストレージボリュームをマウントする可能性があります。（CVE-2018-1112）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。この問題はJohn Strunk氏（Red Hat）によって発見されました。

python-paramikoの更新プログラムがRHEL 7対応のRed Hat Virtualization 4 Management AgentおよびRed Hat Virtualization Manager 4.1で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。python-paramikoパッケージには、暗号化され認証されたリモートマシン接続のためのSSH2プロトコルを実装するPythonモジュールが用意されています。SSLとは異なり、SSH2プロトコルは強力な中央機関によって署名された階層証明書を必要としません。このプロトコルには、暗号化されたトンネルを通じてリモートサービスへの任意のチャンネルを開く機能も含まれています。次のパッケージが新しいアップストリームバージョンにアップグレードされました：python-paramiko（2.1.1）。（BZ#1562393）セキュリティ修正プログラム：* python-paramiko：transport.pyの認証バイパス（CVE-2018-7750）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Red Hat Mobile Application Platform 4.6.0リリース - Red Hat Mobile Application Platform（RHMAP）4.6は、Docker形式のコンテナイメージのセットとして提供されています。イメージに加えて、いくつかのコンポーネントがRPMとして提供されています：* RHMAP CoreとMBaaSのデプロイに使用されるOpenShiftテンプレート*。fh-system-dump-toolによって、OpenShiftクラスターで実行されているすべてのプロジェクトが分析できるようになり、発見された問題が報告されます。詳細については、『操作ガイド』を参照してください。RHMAPコンテナイメージには以下のRPMが含まれており、念のためここに記載します：* RHMAPコンポーネントのステータスを監視するために使用されるNagiosサーバーが、Nagiosコンテナイメージにインストールされています。このリリースはRed Hat Mobile Application Platform 4.5.6の更新プログラムとして機能します。これにはバグの修正と拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正と拡張機能については、『Red Hat JBoss Enterprise Application Platform 4.6.0リリースノート』を参照してください。Nagiosはネットワーク上のホストとサービスを監視するプログラムで、問題が発生したときや解決されたときに電子メールまたはページアラートを送信する機能を備えています。セキュリティ修正プログラム：* nodejs-tough-cookie：正規表現のサービス拒否（CVE-2017-15010）* hoek：ユーティリティ関数のプロトタイプ汚染（CVE-2018-3728）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:1278 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenJDK: JAR マニフェストにおけるセクションの不適切なマージ (セキュリティ、8189969) (CVE-2018-2790)

  - OpenJDK: JCEKS キーストアからの無制限のデータ逆シリアル化 (セキュリティ、8189997) (CVE-2018-2794)

  - OpenJDK: 複数のクラスの逆シリアル化時における不十分な整合性チェック (セキュリティ、8189977) (CVE-2018-2795)

  - OpenJDK: PriorityBlockingQueue における逆シリアル化中の無制限メモリ割り当て (同時実行性、8189981) (CVE-2018-2796)

  - OpenJDK: TabularDataSupport における逆シリアル化中の無制限メモリ割り当てt (JMX、8189985) (CVE-2018-2797)

  - OpenJDK: Container における逆シリアル化中の無制限メモリ割り当て (AWT、8189989) (CVE-2018-2798)

  - OpenJDK: NamedNodeMapImpl における逆シリアル化中の無制限メモリ割り当て (JAXP、8189993) (CVE-2018-2799)

  - OpenJDK: RMI HTTP 転送がデフォルトで有効 (RMI、8193833) (CVE-2018-2800)

  - OpenJDK: リファレンスクローンの不適切な処理により、サンドボックスバイパスが発生する可能性があります (ホットスポット、8192025) (CVE-2018-2814)

  - OpenJDK: StubIORImpl における逆シリアル化中の無制限のメモリ割り当て (シリアル化、8192757) (CVE-2018-2815)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

java-1.7.0-openjdkの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。java-1.7.0-openjdkパッケージには、OpenJDK 7 Java Runtime EnvironmentおよびOpenJDK 7 Javaソフトウェア開発キットが含まれています。セキュリティ修正プログラム：*OpenJDK：リファレンスクローンの不適切な処理により、サンドボックスバイパスが発生する脆弱性（Hotspot、8192025）（CVE-2018-2814）*OpenJDK：JCEKSキーストアからの無制限のデータ逆シリアル化（セキュリティ、8189997）（CVE-2018-2794）*OpenJDK：複数のクラスの逆シリアル化時における不十分な整合性チェック（セキュリティ、8189977）（CVE-2018-2795）*OpenJDK：PriorityBlockingQueueにおける逆シリアル化中の無制限メモリ割り当て（並行処理、8189981）（CVE-2018-2796）*OpenJDK：TabularDataSupportにおける逆シリアル化中の無制限メモリ割り当て（JMX、8189985）（CVE-2018-2797）*OpenJDK：Containerにおける逆シリアル化中の無制限のメモリ割り当て（AW​​T、8189989）（CVE-2018-2798）*OpenJDK：NamedNodeMapImplにおける逆シリアル化中の無制限のメモリ割り当て（JAXP、8189993）（CVE-2018-2799）*OpenJDK：デフォルトで有効になっているRMI HTTPトランスポート（RMI、8193833）（CVE-2018-2800）*OpenJDK：StubIORImplにおける逆シリアル化中の無制限のメモリ割り当て（シリアル化、8192757）（CVE-2018-2815）*OpenJDK：JARマニフェストにおける不適切なセクションのマージ（セキュリティ、8189969）（CVE-2018-2790）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

glusterfsの更新プログラムが、Red Hat Storage向けRed Hat Enterprise Linux 7のネイティブクライアントおよびRed Hat Enterprise Linux 7のRed Hat Gluster Storage 3.3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。GlusterFSは、Red Hat Gluster Storageの重要な構成要素です。スタック可能なユーザー空間設計に基づいており、多様なワークロードに優れたパフォーマンスを提供できます。GlusterFSは、ネットワーク相互接続を介したさまざまなストレージサーバーを1つの大規模な並列ネットワークファイルシステムに集約します。セキュリティ修正プログラム：*CVE-2018-1088の修正により、garantfsサーバーに「auth.allow」を実装する方法に、新たな脆弱性が導入されたことがわかりました。認証されていないglusterクライアントが、glusterストレージボリュームをマウントする可能性があります。（CVE-2018-1112）

glusterfsの更新プログラムが、Red Hat Storage向けRed Hat Enterprise Linux 6のネイティブクライアントおよびRed Hat Enterprise Linux 6のRed Hat Gluster Storage 3.3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。GlusterFSは、Red Hat Gluster Storageの重要な構成要素です。スタック可能なユーザー空間設計に基づいており、多様なワークロードに優れたパフォーマンスを提供できます。GlusterFSは、ネットワーク相互接続を介したさまざまなストレージサーバーを1つの大規模な並列ネットワークファイルシステムに集約します。セキュリティ修正プログラム：*CVE-2018-1088の修正により、garantfsサーバーに「auth.allow」を実装する方法に、新たな脆弱性が導入されたことがわかりました。認証されていないglusterクライアントが、glusterストレージボリュームをマウントする可能性があります。（CVE-2018-1112）

Red Hat Enterprise Linux 7の高速データパスでopenvswitchの更新が利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。［2018年7月24日更新］このアドバイザリは更新され、IBM POWERリトルエンディアンアーキテクチャにもopenvswitchパッケージを提供しています。Open vSwitchは標準的なネットワークブリッジング機能を提供し、トラフィックのリモートフロー単位コントロールのOpenFlowプロトコルをサポートしています。セキュリティ修正プログラム：* dpdk：認証していないゲスト物理アドレスからホスト仮想アドレスへの変換における情報漏えい（CVE-2018-1059）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。この問題は、Maxime Coquelin氏（Red Hat）によって発見されました。バグ修正プログラム：*openvswitchパッケージがアップストリームバージョン2.9.0にアップグレードされ、以前のバージョンに対する多数のバグ修正と強化が行われています。（BZ#1560628）

rh-maven35-jackson-databindの更新プログラムがRed Hat Software Collectionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。jackson-databindパッケージは、JacksonコアストリーミングAPIの上で動作する、Jackson用の一般的なデータバインディング機能を提供します。セキュリティ修正プログラム：* jackson-databindで逆シリアル化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードの実行を行う可能性があります。（CVE-2017-7525）*攻撃者が使用して逆シリアル化を通じてコードを実行する可能性のあるクラスがさらに見つかり、CVE-2017-7525で紹介されたブラックリストに追加されました。（CVE-2017-15095、CVE-2017-17485）Red Hatは、CVE-2017-7525、CVE-2017-15095を報告してくれたLiao Xinxi氏（NSFOCUS）、CVE-2017-17485を報告してくれた360Guan Xing Shi Yan Shiの0c0c0fに感謝の意を表します。

rh-eclipse46-jackson-databindの更新プログラムがRed Hat Software Collectionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。jackson-databindパッケージは、JacksonコアストリーミングAPIの上で動作する、Jackson用の一般的なデータバインディング機能を提供します。セキュリティ修正プログラム：* jackson-databindで逆シリアル化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードの実行を行う可能性があります。この問題は、悪意を持って使用される可能性があるより多くのクラスをブラックリストに入れることによって、前の欠陥CVE-2017-7525、CVE-2017-15095を拡大します。（CVE-2017-17485）Red Hatはこの問題を報告してくれた360Guan Xing Shi Yan Shiの0c0c0fに感謝の意を表します。

aprの更新プログラムが、Red Hat Enterprise Linux 6.4 Advanced Update Support、Red Hat Enterprise Linux 6.5 Advanced Update Support、Red Hat Enterprise Linux 6.6 Advanced Update Support、Red Hat Enterprise Linux 6.6 Telco Extended Update Support、Red Hat Enterprise Linux 6.7 Extended Update Support、Red Hat Enterprise Linux 7.2 Advanced Update Support、Red Hat Enterprise Linux 7.2 Telco Extended Update Support、Red Hat Enterprise Linux 7.2 Update Services for SAP Solutions、Red Hat Enterprise Linux 7.3 Extended Update Supportで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache Portable Runtime（APR）は、Apache HTTP Serverおよびその他のプロジェクトで使用されるポータビリティライブラリです。これにより、Cデータ構造およびルーチンの無料のライブラリが提供されます。セキュリティ修正プログラム：*apr：apr_time_exp*()関数における領域外の配列デリファレンス（CVE-2017-12613）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

eap7-jboss-ec2-eapの更新プログラムが、Red Hat Enterprise Linux 6対応のRed Hat JBoss Enterprise Application Platform 7.1.2およびRed Hat Enterprise Linux 7対応のRed Hat JBoss Enterprise Application Platform 7.1.2で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。* eap7-jboss-ec2-eapパッケージは、Amazon Web Services（AWS）Elastic Compute Cloud（EC2）で実行するRed Hat JBoss Enterprise Application Platform用のスクリプトを提供します。この更新プログラムにより、Red Hat JBoss Enterprise Application Platform 7.1.2との互換性を確保するためにeap7-jboss-ec2-eapパッケージが更新されています。このリリースに含まれる最も重要なバグ修正と拡張機能については、「参照」セクションでリンクされている『JBoss Enterprise Application Platform 7.1リリースノート』を参照してください。セキュリティ修正プログラム：*undertow：UTF-8エンコーディングでCRLFを使用するHTTPヘッダインジェクション（CVE-2016-4993の不完全な修正）（CVE-2018-1067）*wildfall-undertow：undertow：ServletResourceManagerクラスでのパストラバーサル（CVE-2018-1047）*slf4j：任意のコードが実行される可能性があるEventDataコンストラクターにおける逆シリアル化の脆弱性（CVE-2018-8088）Red HatはCVE-2018-1067を報告してくれたAmmarit Thongthua氏とNattakit Intarasorn氏（Deloitte Thailand Pentestチーム）、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2018:1248 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - undertow: ServletResourceManager クラスでのパストラバーサル (CVE-2018-1047)

  - undertow: UTF-8 エンコーディングで CRLF を使用する HTTP ヘッダーインジェクション (CVE-2016-4993 の不完全な修正) (CVE-2018-1067)

  - slf4j: EventData コンストラクターのシリアル化解除の脆弱性により、任意のコードが実行される可能性があります (CVE-2018-8088)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Red Hat JBoss Enterprise Application Platform 7.1.2を提供し、いくつかのバグを修正し、さまざまな機能強化を追加する更新済みパッケージが、Red Hat Enterprise Linux 7で現在利用可能です。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.1.2のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.1を置換するものとして機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正プログラムと拡張機能が含まれています。セキュリティ修正プログラム：*undertow：UTF-8エンコーディングでCRLFを使用するHTTPヘッダインジェクション（CVE-2016-4993の不完全な修正）（CVE-2018-1067）*wildfall-undertow：undertow：ServletResourceManagerクラスでのパストラバーサル（CVE-2018-1047）*slf4j：任意のコードが実行される可能性があるEventDataコンストラクターにおける逆シリアル化の脆弱性（CVE-2018-8088）Red HatはCVE-2018-1067を報告してくれたAmmarit Thongthua氏とNattakit Intarasorn氏（Deloitte Thailand Pentestチーム）、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

python-paramikoの更新プログラムが、RHEL 7のRed Hat Ansible Engine 2.4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。python-paramikoパッケージには、暗号化され認証されたリモートマシン接続のためのSSH2プロトコルを実装するPythonモジュールが用意されています。SSLとは異なり、SSH2プロトコルは強力な中央機関によって署名された階層証明書を必要としません。このプロトコルには、暗号化されたトンネルを通じてリモートサービスへの任意のチャンネルを開く機能も含まれています。セキュリティ修正プログラム：* python-paramiko：transport.pyの認証バイパス（CVE-2018-7750）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

librelpの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Librelpは、Reliable Event Logging Protocol（RELP）プロトコル用の使いやすいライブラリです。RELPは、汎用の拡張可能なロギングプロトコルです。セキュリティ修正プログラム：*librelp：src/tcp.cのrelpTcpChkPeerName関数におけるスタックベースのバッファオーバーフロー（CVE-2018-1000140）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたRainer Gerhards氏（rsyslog）に感謝の意を表します。アップストリームは、Bas van Schaik氏（lgtm.com/Semmle）とKevin Backhouse氏（lgtm.com/Semmle）を最初の報告者として認めています。

ID	名前	深刻度
109905	RHEL 7：JBoss EAP（RHSA-2018：1448）	critical
109847	RHEL 6：dhcp（RHSA-2018：1461）	high
109846	RHEL 6：dhcp（RHSA-2018：1460）	high
109845	RHEL 6：dhcp（RHSA-2018：1459）	high
109844	RHEL 6：dhcp（RHSA-2018：1458）	high
109843	RHEL 7：dhcp（RHSA-2018：1457）	high
109842	RHEL 7：dhcp（RHSA-2018：1456）	high
109841	RHEL 7：dhcp（RHSA-2018：1455）	high
109840	RHEL 6：dhcp（RHSA-2018：1454）	high
109839	RHEL 7：dhcp（RHSA-2018：1453）	high
109838	RHEL 6：eap6-jboss-ec2-eap（RHSA-2018:1451）	critical
109837	RHEL 6：chromium-browser（RHSA-2018:1446）	high
109836	RHEL 7：qemu-kvm（RHSA-2018：1416）	medium
109835	RHEL 7：firefox（RHSA-2018：1415）	critical
109834	RHEL 6：firefox（RHSA-2018：1414）	critical
109833	RHEL 7：libvirt（RHSA-2018：1396）	high
109832	RHEL 7：389-ds-base（RHSA-2018：1380）	high
109831	RHEL 7：kernel-alt(RHSA-2018:1374)	medium
109755	RHEL 7：qemu-kvm-rhev（RHSA-2018：1369）	high
109754	RHEL 6：MRG（RHSA-2018:1354）	high
109670	RHEL 6：flash-plugin（RHSA-2018:1367）	critical
109669	RHEL 6：389-ds-base（RHSA-2018：1364）	high
109642	RHEL 7：kernel-rt（RHSA-2018:1355）	high
109641	RHEL 6：kernel（RHSA-2018:1351）	high
109640	RHEL 6：カーネル（RHSA-2018：1350）	high
109639	RHEL 6：kernel（RHSA-2018:1349）	high
109638	RHEL 7：カーネル（RHSA-2018：1348）	high
109637	RHEL 7：カーネル（RHSA-2018：1347）	high
109636	RHEL 6：カーネル（RHSA-2018:1346）（Meltdown）	high
109635	RHEL 7：カーネル（RHSA-2018：1345）	high
109634	RHEL 6：kernel（RHSA-2018:1319）	critical
109633	RHEL 7：カーネル（RHSA-2018：1318）	high
109570	RHEL 6：chromium-browser（RHSA-2018:1321）	high
109569	RHEL 7：go-toolset-7、go-toolset-7-golang（RHSA-2018:1304）	high
109568	RHEL 7：Virtualization（RHSA-2018:1275）	high
109567	RHEL 7：Virtualization（RHSA-2018:1274）	critical
109566	RHEL 7：Red Hat Mobile Application Platform 4.6.0（RHSA-2018:1263）	high
109546	RHEL 7：java-1.7.0-openjdk（RHSA-2018：1278）	high
109444	RHEL 6：java-1.7.0-openjdk（RHSA-2018：1270）	high
109443	RHEL 7：glusterfs（RHSA-2018：1269）	high
109442	RHEL 6：glusterfs（RHSA-2018：1268）	high
109441	RHEL 7：openvswitch（RHSA-2018：1267）	medium
109428	RHEL 7：rh-maven35-jackson-databind（RHSA-2018:0342）	critical
109427	RHEL 7：rh-eclipse46-jackson-databind（RHSA-2018:0116）	critical
109391	RHEL 6/7：apr（RHSA-2018：1253）	high
109390	RHEL 6/7：JBoss EAP（RHSA-2018:1249）	critical
109389	RHEL 6 : RHEL 6 上の JBoss Enterprise Application Platform 7.1.2 のセキュリティ更新プログラム (重要度高) (RHSA-2018:1248)	critical
109388	RHEL 7：JBoss EAP（RHSA-2018：1247）	critical
109387	RHEL 7：python-paramiko（RHSA-2018：1213）	critical
109339	RHEL 6：librelp（RHSA-2018：1225）	critical

検出

Nessus 用の Red Hat Local Security Checks ファミリー

critical

high

high

high

high

high

high

high

high

high

critical

high

medium

critical

critical

high

high

medium

high

high

critical

high

high

high

high

high

high

high

high

high

critical

high

high

high

high

critical

high

high

high

high

high

medium

critical

critical

high

critical

critical

critical

critical

critical