Red Hat JBoss Enterprise Application Platform 6.4.4 を提供し、 3 つのセキュリティの問題といくつかのバグを修正し、いくつかの拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

大きなヘッダーを含むリクエストを Web Console に送信すると、 HTTP 管理インターフェイスに Java OutOfMemoryError が生成されることがわかりました。攻撃者がこの欠陥を利用して、サービス拒否を引き起こす可能性があります。(CVE-2015-5220)

EAP 管理コンソールを IFRAME で開くことが可能で、これによりリクエストを傍受および操作できることが判明しました。攻撃者がこの欠陥を利用して、ユーザーを騙して Console で任意のアクションを実行させる可能性があります（クリックジャッキング）。
(CVE-2015-5178)

注：この問題を解決するには、Console で http リクエストが送信される方法を変更する必要がありました。この変更は、ユーザーに影響を与える可能性があります。この変更の詳細については、「参照」セクションでリンクされているリリースノートを参照してください。

マルチパート/フォームデータ送信を使用してファイルを EAP Web Console にアップロードした場合、Console がクロスサイトリクエスト偽造（CSRF）に対して脆弱であることがわかりました。つまり、攻撃者がこの欠陥を偽造攻撃とともに利用することで、認証されているインスタンスを変更する可能性があります。(CVE-2015-5188)

CVE-2015-5220 の問題は、Red Hat GSS Middleware Team の Aaron Ogburn 氏により発見されました。また、CVE-2015-5188 の問題は、Red Hat Middleware Engineering Team の Jason Greene 氏により発見されました。

このリリースは、Red Hat JBoss Enterprise Application Platform 6.4.3 を置き換え、バグ修正および拡張機能を提供します。
これらの変更についてのドキュメントは、「参照」セクションのリンクから入手できます。

Red Hat Enterprise Linux 6 での Red Hat JBoss Enterprise Application Platform 6.4 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることを推奨します。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

複数のセキュリティ問題を修正する更新済み Adobe Flash Player パッケージが、Red Hat Enterprise Linux 6 Supplementary に使用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Flash プラグインパッケージには、Mozilla Firefox と互換性のある Adobe Flash Player Web ブラウザプラグインが含まれています。

この更新では、Adobe Flash Player の複数の脆弱性を修正します。
これらの欠陥は、参照セクションでリストされている Adobe Security Bulletin APSB15-25 で詳細に説明されています。これら欠陥により、攻撃者は特別に細工された SWF ファイルを作成できます。被害者が悪意のある SWF コンテンツを含むページを読み込むと、flash プラグインをクラッシュさせることや、任意のコードの実行すること、または機密情報を漏洩させることができます。
- CVE-2015-5569、CVE-2015-7625、CVE-2015-7626、CVE-2015-7627、CVE-2015-7628、CVE-2015-7629、CVE-2015-7630、CVE-2015-7631、CVE-2015-7632、CVE-2015-7633、CVE-2015-7634、CVE-2015-7643、CVE-2015-7644：

Adobe Flash Player の全ユーザーは、Flash Player をバージョン 11.2.202.535 にアップグレードするこの更新済みパッケージをインストールする必要があります。

2 つのセキュリティの問題を修正する更新済みの spice パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Simple Protocol for Independent Computing Environments（SPICE）は、仮想環境用のリモート表示プロトコルです。SPICE ユーザーは、ローカルシステムまたはサーバーへのネットワークアクセスのある任意のシステムから仮想デスクトップまたはサーバーにアクセスできます。SPICE は Red Hat Enterprise Linux で使用され、カーネルベースの仮想マシン（KVM）ハイパーバイザーまたは Red Hat Enterprise Virtualization Hypervisor 上で実行している仮想ゲストを表示します。

SPICE がサーフェス作成に関連した特定のゲスト QXL コマンドを処理する方法に、ヒープベースのバッファオーバーフローの欠陥が見つかりました。ゲストのユーザーがこの欠陥を利用して、ホスト上の任意のメモリロケーションに対する読み書きを行う可能性があります。(CVE-2015-5261)

spice が「surface_id」パラメーターに関連した特定の QXL コマンドを処理する方法で、ヒープベースのバッファオーバーフローの欠陥が見つかりました。ゲストのユーザーがこの欠陥を利用して、ホストの QEMU-KVM プロセスをクラッシュさせたり、ホストの QEMU-KVM プロセスの権限で任意のコードを実行する可能性があります。(CVE-2015-5260)

これらの問題は、Red Hat の Frediano Ziglio 氏により発見されました。

spice の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

2 つのセキュリティの問題を修正する更新済みの spice-server パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Simple Protocol for Independent Computing Environments（SPICE）は、仮想環境用のリモート表示プロトコルです。SPICE ユーザーは、ローカルシステムまたはサーバーへのネットワークアクセスのある任意のシステムから仮想デスクトップまたはサーバーにアクセスできます。SPICE は Red Hat Enterprise Linux で使用され、カーネルベースの仮想マシン（KVM）ハイパーバイザーまたは Red Hat Enterprise Virtualization Hypervisor 上で実行している仮想ゲストを表示します。

SPICE がサーフェス作成に関連した特定のゲスト QXL コマンドを処理する方法に、ヒープベースのバッファオーバーフローの欠陥が見つかりました。ゲストのユーザーがこの欠陥を利用して、ホスト上の任意のメモリロケーションに対する読み書きを行う可能性があります。(CVE-2015-5261)

spice が「surface_id」パラメーターに関連した特定の QXL コマンドを処理する方法で、ヒープベースのバッファオーバーフローの欠陥が見つかりました。ゲストのユーザーがこの欠陥を利用して、ホストの QEMU-KVM プロセスをクラッシュさせたり、ホストの QEMU-KVM プロセスの権限で任意のコードを実行する可能性があります。(CVE-2015-5260)

これらの問題は、Red Hat の Frediano Ziglio 氏により発見されました。

spice-server の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

メタデータ制約の不適切な強制により、Red Hat Gluster Storage の OpenStack Object Storage（swiftonfile）に欠陥が存在します。認証されたリモートの攻撃者がこれを悪用して、複数の別々の呼び出しにおける追加されたメタデータを通じて、max_meta_count 制限をバイパスし、構成により許可されている以上のメタデータを保存し、サービス拒否状態を引き起こす可能性があります。

1 つのセキュリティ問題を修正する更新版の mod_proxy_fcgi パッケージが Red Hat Enterprise Linux 6 用の Red Hat Ceph Storage 1.2 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat Ceph Storage は、スケーラブルかつオープンなソフトウェア定義型ストレージプラットフォームです。Ceph ストレージシステムの最も安定したバージョンに、Ceph 管理プラットフォーム、展開ツール、およびサポートサービスを搭載しています。

Mod_proxy_fcgi パッケージは Apache 2.2 HTTP サーバー用のプロキシモジュールを提供します。

mod_proxy_fcgi の handle_headers() 関数でバッファオーバーフローの欠陥が見つかりました。httpd が接続するよう構成されている悪意のある FastCGI サーバーが、httpd の子プロセス処理がリクエストをクラッシュさせる可能性のある注意深く細工された応答を送る可能性があります。(CVE-2014-3583)

mod_proxy_fcgi の全ユーザーは、更新済みパッケージにアップグレードし、この問題を解決することが推奨されます。

複数のセキュリティ問題を修正する更新済み thunderbird パッケージが、 Red Hat Enterprise Linux 5、6、および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、Thunderbird をクラッシュさせたり、 Thunderbird を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2015-4500、CVE-2015-4509、CVE-2015-4517、 CVE-2015-4521、CVE-2015-4522、CVE-2015-7174、 CVE-2015-7175、CVE-2015-7176、CVE-2015-7177、 CVE-2015-7180）

無効な形式の Web コンテンツの処理に、2 つの情報漏洩の欠陥が見つかりました。悪意のあるコンテンツを含む Web ページにより、 Thunderbird が機密情報を漏洩したり、特定の場合おいてクラッシュする可能性があります。（CVE-2015-4519、 CVE-2015-4520）

注：メールメッセージに対して JavaScript がデフォルトで無効になっているため、上述した問題のすべては、特別に細工された HTML メールメッセージにより悪用されません。ただし、Thunderbird では、別の方法（例、RSS フィードのフルリモートコンテンツを表示する）で悪用されることがあります。

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream は、Andrew Osmond 氏、Olli Pettay 氏、Andrew Sutherland 氏、Christian Holler 氏、David Major 氏、Andrew McCreight 氏、 Cameron McCormack 氏、Ronald Crane 氏、Mario Gomes 氏、および Ehsan Akhgari 氏を、これらの問題の最初の報告者として承認します。

これらの欠陥の技術的な詳細については、Thnderbird 38.3.0 の Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。

Thunderbird の全ユーザーは、Thunderbird バージョン 38.3.0 が含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。
この更新を有効にするには、更新をインストールした後、Thunderbird を再起動する必要があります。

2 つのセキュリティの問題を修正する更新済み chromium-broweser パッケージが、 Red Hat Enterprise Linux 6 Supplementary で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Chromium は、WebKit（Blink）が稼働するオープンソースの Web ブラウザです。

無効な形式の Web コンテンツの処理で、2 つの欠陥が見つかりました。悪意のあるコンテンツを含む Web ページにより、Chromium にクロスオリジン制限をバイパスさせ、関連付けられていない Web サイトのデータにアクセスされたり、これを改ざんされる可能性があります。（CVE-2015-1303、 CVE-2015-1304）

Chromium の全ユーザーは、Chromium バージョン 45.0.2454.101 が含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。
更新による変更を有効にするには、更新のインストール後、Chromium を再起動する必要があります。

1 つのセキュリティの問題を修正する更新済みの openldap パッケージが、 Red Hat Enterprise Linux 5、6、および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

OpenLDAP は、Lightweight Directory Access Protocol（LDAP）アプリケーションおよび開発ツールのオープンソースパッケージです。LDAP は、IP ネットワーク上に分散したディレクトリ情報サービスにアクセスし、サービスをメンテナンスするために使用する、一連のプロトコルです。openldap パッケージには、 OpenLDAP 用の構成ファイル、ライブラリ、および説明書が付属しています。

OpenLDAP サーバーデーモン（slapd）が特定の Basic Encoding Rules（BER）データを解析する方法に欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、特別に細工されたパケットを通じて slapd をクラッシュさせる可能性があります。
(CVE-2015-6908)

openldap の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

複数のセキュリティ問題を修正する更新済み Firefox パッケージが、 Red Hat Enterprise Linux 5、6、および 7 に利用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

[2014 年 8 月 25 日に更新] このエラータには以前、修正済みの問題に関する、不適切なリストが含まれていました。この問題リストは更新され、この更新で修正された CVE を反映しています。このアドバイザリによって提供される Firefox パッケージは、何も変更されていません。

Mozilla Firefox はオープンソースの Web ブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページが、Firefox をクラッシュさせたり、 Firefox を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。CVE-2015-4500、CVE-2015-4506、CVE-2015-4509、CVE-2015-4511、CVE-2015-4517、CVE-2015-4521、CVE-2015-4522、CVE-2015-7174、CVE-2015-7175、CVE-2015-7176、CVE-2015-7177、CVE-2015-7180

無効な形式の Web コンテンツの処理に、2 つの情報漏洩の欠陥が見つかりました。悪意のあるコンテンツを含む Web ページにより、 Firefox が機密情報を漏洩することや、特定の場合においてクラッシュすることがあります。
（CVE-2015-4519、 CVE-2015-4520）

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream では、これらの問題の元の情報提供者として次の人物を認識しています。 Andrew Osmond 氏、Olli Pettay 氏、Andrew Sutherland 氏、 Christian Holler 氏、David Major 氏、Andrew McCreight 氏、 Cameron McCormack 氏、Khalil Zhani 氏、Atte Kettunen 氏、Ronald Crane 氏、Mario Gomes 氏、Ehsan Akhgari 氏。

Firefox の全ユーザーは、Firefox バージョン 38.3.0 ESR が含まれるこれらの更新済みのパッケージへアップグレードし、これらの問題を修正する必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

1 つのセキュリティの問題を修正する更新済みの qemu-kvm パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

KVM（カーネルベース仮想マシン）は、AMD64 および Intel 64 システムの、Linux 向けの完全な仮想化ソリューションです。qemu-kvm パッケージは、 KVM を使用している仮想マシンを実行する場合に、ユーザー空間コンポーネントを実現します。

QEMU の RTL8139 エミュレーション実装が操作の RTL8139 コントローラーの C+ モード下でネットワークパケットを処理していた方法で、情報漏洩の欠陥が見つかりました。権限のないゲストユーザーはこの欠陥を悪用して初期化されていない QEMU ヒープメモリを最大 65 KB まで読み取ることができます。(CVE-2015-5165)

Red Hat は、この問題を報告してくれた Xen プロジェクトに感謝の意を表します。
Upstream では、Alibaba の Donghai Zhu 氏が最初の報告者であると認識しています。

qemu-kvm のすべてのユーザーには、更新されたこれらのパッケージにアップグレードすることが推奨されます。これらのパッケージには、この問題を修正するバックポートされたパッチが収納されています。この更新をインストールした後、実行中の仮想マシンをすべてシャットダウンします。すべての仮想マシンをシャットダウンしたら、この更新を有効にするために、再起動します。

複数のセキュリティ問題を解決する、更新済みの Adobe Flash Player パッケージの更新が、Red Hat Enterprise Linux 5 および 6 Supplementary で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Flash プラグインパッケージには、Mozilla Firefox と互換性のある Adobe Flash Player Web ブラウザプラグインが含まれています。

この更新では、Adobe Flash Player の複数の脆弱性を修正します。
これらの欠陥は、参照セクションでリストされている Adobe Security Bulletin APSB15-23 で詳細に説明されています。これら欠陥により、攻撃者は特別に細工された SWF ファイルを作成できます。被害者が悪意のある SWF コンテンツを含むページを読み込むと、flash プラグインをクラッシュさせることや、任意のコードの実行すること、または機密情報を漏洩させることができます。
(CVE-2015-5567、CVE-2015-5568、CVE-2015-5570、 CVE-2015-5571、CVE-2015-5572、CVE-2015-5573、 CVE-2015-5574、CVE-2015-5575、CVE-2015-5576、 CVE-2015-5577、CVE-2015-5578、CVE-2015-5579、 CVE-2015-5580、CVE-2015-5581、CVE-2015-5582、 CVE-2015-5584、CVE-2015-5587、CVE-2015-5588、 CVE-2015-6676、CVE-2015-6677、CVE-2015-6678、 CVE-2015-6679、CVE-2015-6682)

Adobe Flash Player の全ユーザーは、Flash Player をバージョン 11.2.202.521 にアップグレードするこの更新済みパッケージをインストールする必要があります。

1 つのセキュリティ問題と1 つのバグを修正する更新済みの qemu-kvmパッケージが、 Red Hat Enterprise Virtualization で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

KVM（カーネルベース仮想マシン）は、AMD64 および Intel 64 システムの、Linux 向けの完全な仮想化ソリューションです。qemu-kvm-rhev パッケージは、 Red Hat Enterprise Virtualization Manager によって管理される環境において、KVM を使用する仮想マシンを実行するユーザー空間コンポーネントを提供します。

QEMU の RTL8139 エミュレーション実装が操作の RTL8139 コントローラーの C+ モード下でネットワークパケットを処理していた方法で、情報漏洩の欠陥が見つかりました。権限のないゲストユーザーはこの欠陥を悪用して初期化されていない QEMU ヒープメモリを最大 65 KB まで読み取ることができます。(CVE-2015-5165)

Red Hat は、この問題を報告してくれた Xen プロジェクトに感謝の意を表します。
Upstream では、Alibaba の Donghai Zhu 氏が最初の報告者であると認識しています。

qemu-kvm-rhev の全ユーザーには、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することを推奨します。
この更新をインストールした後、実行中の仮想マシンをすべてシャットダウンします。
すべての仮想マシンをシャットダウンしたら、この更新を有効にするために、再起動します。

複数のセキュリティ問題および複数のバグを修正し、さまざまな拡張機能を追加する更新済み rhev-hypervisor パッケージが、利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

rhev-hypervisor パッケージにより、Red Hat Enterprise Virtualization Hypervisor の ISO ディスクイメージが提供されます。Red Hat Enterprise Virtualization Hypervisor は、専用のカーネルベース仮想マシン（KVM）ハイパーバイザーです。仮想マシンの実行および管理に必要な全ての機能が含まれています：Red Hat Enterprise Linux 操作環境と Red Hat Enterprise Virtualization Agent のサブセット。

注：Red Hat Enterprise Virtualization ハイパーバイザーが使用できるのは、仮想化拡張対応の Intel 64 および AMD64 のアーキテクチャだけです。

JasPer が JPEG 2000 画像ファイルをデコードする方法に、ヒープベースのバッファオーバーフローの欠陥が見つかりました。特別に細工されたファイルが、 JasPer を使用するアプリケーションをクラッシュさせたり、任意のコードが実行されたりする可能性があります。(CVE-2014-8138)

ホスト上の QEMU-KVM コンテキスト下で実行している SPICE の worker_update_monitors_config() 関数に、ヒープベースのメモリ破損を引き起こす競合状態の欠陥が見つかりました。ゲストのユーザーがこの欠陥を利用して、ホストの QEMU-KVM プロセスをクラッシュさせたり、ホストの QEMU-KVM プロセスの権限で任意のコードを実行できる可能性があります。(CVE-2015-3247)

JasPer が JPEG 2000 画像ファイル内の ICC カラープロファイルを解析する方法に、二重解放の欠陥が見つかりました。特別に細工されたファイルが、 JasPer を使用するアプリケーションをクラッシュさせたり、任意のコードが実行されたりする可能性があります。(CVE-2014-8137)

VM が VM グリッドビューで選択されている場合、Red Hat Enterprise Virtualization Manager Web Admin インターフェイスでのアイドルタイムアウトが、セッションのログアウトに失敗することが判明しました。対処されない場合、これによってローカルの攻撃者が Web インターフェイスにアクセスできる可能性があります。
(CVE-2015-1841)

Red Hat は、CVE-2014-8137 および CVE-2014-8138 を報告してくれた oCERT に感謝の意を表します。oCERT は、Google セキュリティチームの Jose Duart 氏を最初の報告者として認めています。CVE-2015-3247 の問題は、Red Hat の Frediano Ziglio 氏が見つけました。CVE-2015-1841 の問題は、Red Hat の Einav Cohen 氏が見つけました。

この更新では以下のバグも修正されます。

* 以前は、Red Hat Enterprise Linux 6 ホストでの Red Hat Enterprise Virtualization Hypervisor 7 RPM のインストールは失敗しました。これは、このようなものが利用可能ではないが原因でした。Red Hat Enterprise Virtualization Hypervisor 7 RPM が、rhel-6-server-rhevh-rpms チャネルで利用可能で、Red Hat Enterprise Linux 6 ホストにインストールできます。（BZ#1193678）

また、この更新は以下の拡張機能も追加します：

* このリリースでは、Red Hat Enterprise Virtualization Hypervisor に、Dell Shared PERC8 RAID コントローラー用のドライバーが含まれるようになりました。
（BZ#1186582）

Red Hat Enterprise Virtualization Hypervisor のユーザーは、この更新済みパッケージへアップグレードすることを推奨します。

1 つのセキュリティの問題を修正する更新済みの qemu-kvm パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

KVM（カーネルベース仮想マシン）は、AMD64 および Intel 64 システムの、Linux 向けの完全な仮想化ソリューションです。qemu-kvm パッケージは、 KVM を使用している仮想マシンを実行する場合に、ユーザー空間コンポーネントを実現します。

QEMU の RTL8139 エミュレーション実装が操作の RTL8139 コントローラーの C+ モード下でネットワークパケットを処理していた方法で、情報漏洩の欠陥が見つかりました。権限のないゲストユーザーはこの欠陥を悪用して初期化されていない QEMU ヒープメモリを最大 65 KB まで読み取ることができます。(CVE-2015-5165)

Red Hat は、この問題を報告してくれた Xen プロジェクトに感謝の意を表します。
Upstream では、Alibaba の Donghai Zhu 氏が最初の報告者であると認識しています。

qemu-kvm のすべてのユーザーには、更新されたこれらのパッケージにアップグレードすることが推奨されます。これらのパッケージには、この問題を修正するバックポートされたパッチが収納されています。この更新をインストールした後、実行中の仮想マシンをすべてシャットダウンします。すべての仮想マシンをシャットダウンしたら、この更新を有効にするために、再起動します。

複数のセキュリティ問題といくつかのバグを修正し、多様な強化機能を追加する更新済みの kernel-rt パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

kernel-rt パッケージには Linux オペレーティングシステムのコアである Linux カーネルが含まれています。

* バークレーパケットフィルター（BPF）のカーネル実装に、欠陥が見つかりました。ローカルの攻撃者は BPF コードを作成し、 JIT コンパイラーが最後のパスにおける JIT 画像の適切な最適化に失敗する状況をつくることで、システムをクラッシュさせることができます。これにより、 JIT コードには関係のない CPU 実行命令が発生します。（CVE-2015-4700、重要度高）

* Linux カーネルのネットワーク実装が不適切なチェックサム値で UDP パケットを処理していた過程に、2 つの欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、カーネルで無限ループを引き起こしてシステムのサービス拒否を引き起こしたり、 edge が引き起こした epoll 機能を使用するアプリケーションでサービス拒否を引き起こしたりする可能性があります。（CVE-2015-5364、CVE-2015-5366、重要度高）

* fallocate ゼロ範囲機能が使用された際に Linux カーネルの ext4 ファイルシステムが「page size > block size」状態を処理していた方法で、欠陥が見つかりました。ローカルの攻撃者は、この欠陥を利用して、システムをクラッシュさせることができます。（CVE-2015-0275、重要度中）

* add_key() 関数からキーリングにキーを追加する際に、Linux カーネルのキーリング実装がメモリを漏洩させていたことが判明しました。
ローカルの攻撃者はこの欠陥を悪用して、システム上のすべての使用可能なメモリを使い果たすことや、サービス拒否を引き起こす可能性があります。（CVE-2015-1333、重要度中）

* Address Configuration Change（ASCONF）を行う際に Linux カーネルの SCTP 実装が Address Configuration リストを処理していた方法で、競合状態の欠陥が見つかりました。ローカルの攻撃者はこの欠陥を悪用して特定の ASCONF オプションをソケットで設定することで競合状態を発生させ、システムをクラッシュさせることができます。（CVE-2015-3212、重要度中）

* Linux カーネルの Virtual Dyanamic Shared Object（vDSO）がアドレスのランダム化を行っていた方法で、情報漏洩の欠陥が見つかりました。権限のないローカルユーザーが、この欠陥を利用して、ユーザー空間にカーネルメモリアドレスを漏洩する可能性があります。（CVE-2014-9585、重要度低）

Red Hat は、CVE-2015-4700 を報告してくれた Daniel Borkmann 氏、および CVE-2015-1333 を報告してくれた Canonical 氏に感謝の意を表します。
CVE-2015-0275 の問題は、Red Hat の Xiong Zhou 氏、 CVE-2015-3212 の問題は、Red Hat Engineering の Ji Jianwen 氏によって発見されました。

kernel-rt パッケージは、バージョン 3.10.0-229.13.1 にアップグレードされています。このバージョンでは、以前のバージョンの多くのバグ修正や機能強化を提供しています。

* scsi_send_eh_cmnd() の回帰を修正します

* 「Console: switching to colour dummy device 80x25（コンソール：カラーダミーデバイス 80x25 に切り替えます）」で起動がハングアップします

* tcp スタックを 3.17 カーネルに更新してください

* パッチで不足している一部のコード '(...)ホットプラグに関連する、VGA switcheroo の問題を修正します

* ioatdma ドライバーからタスクレットが外れたことによる、ksoftirqd の高い CPU 使用率

* Live Partition Mobility（LPM）のテスト中に、RHEL 7.1 LPAR は kmem_cache_alloc でクラッシュします

（BZ#1253809）

この更新では以下のバグも修正されます。

* hwlat_detector.ko モジュールは、クロックをサンプリングし、指定されたしきい値を超える読み取り間隔を記録します。ただし、そのモジュールは、「inner」間隔に見られる最大間隔をこれまで追跡しましたが、「outer」間隔がより大きな場合に記録しませんでした。このバグを修正するためのパッチが適用されており、outer 間隔が実行中に直面した最大間隔である場合、hwlat_detector.ko は正しく記録するようになりました。（BZ#1252365）

kernel-rt の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。この更新を有効にするには、システムを再起動する必要があります。

複数のセキュリティ問題といくつかのバグを修正し、多様な強化機能を追加する更新済みの kernel-rt パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

kernel-rt パッケージには Linux オペレーティングシステムのコアである Linux カーネルが含まれています。

* Linux カーネルのネットワーク実装が不適切なチェックサム値で UDP パケットを処理していた過程に、2 つの欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、カーネルで無限ループを引き起こしてシステムのサービス拒否を引き起こしたり、 edge が引き起こした epoll 機能を使用するアプリケーションでサービス拒否を引き起こしたりする可能性があります。（CVE-2015-5364、CVE-2015-5366、重要度高）

* fallocate ゼロ範囲機能が使用された際に Linux カーネルの ext4 ファイルシステムが「page size > block size」状態を処理していた方法で、欠陥が見つかりました。ローカルの攻撃者は、この欠陥を利用して、システムをクラッシュさせることができます。（CVE-2015-0275、重要度中）

* add_key() 関数からキーリングにキーを追加する際に、Linux カーネルのキーリング実装がメモリを漏洩させていたことが判明しました。
ローカルの攻撃者はこの欠陥を悪用して、システム上のすべての使用可能なメモリを使い果たすことや、サービス拒否を引き起こす可能性があります。（CVE-2015-1333、重要度中）

* Address Configuration Change（ASCONF）を行う際に Linux カーネルの SCTP 実装が Address Configuration リストを処理していた方法で、競合状態の欠陥が見つかりました。ローカルの攻撃者はこの欠陥を悪用して特定の ASCONF オプションをソケットで設定することで競合状態を発生させ、システムをクラッシュさせることができます。（CVE-2015-3212、重要度中）

* Linux カーネルの Virtual Dyanamic Shared Object（vDSO）がアドレスのランダム化を行っていた方法で、情報漏洩の欠陥が見つかりました。権限のないローカルユーザーが、この欠陥を利用して、ユーザー空間にカーネルメモリアドレスを漏洩する可能性があります。（CVE-2014-9585、重要度低）

Red Hat は、CVE-2015-1333 の問題を報告してくれた Canonical に感謝の意を表します。CVE-2015-0275 の問題は、Red Hat の Xiong Zhou 氏、 CVE-2015-3212 の問題は、Red Hat Engineering の Ji Jianwen 氏によって発見されました。

この更新は、Red Hat Enterprise MRG 2.5 用の kernel-rt パッケージのビルドを提供しています。これは、Red Hat Enterprise Linux 6 でレイヤーされ、次の問題を修正します。

* scsi_send_eh_cmnd() の回帰を修正します

* 「Console: switching to colour dummy device 80x25（コンソール：カラーダミーデバイス 80x25 に切り替えます）」で起動がハングアップします

* tcp スタックを 3.17 カーネルに更新してください

* ioatdma ドライバーからタスクレットが外れたことによる、ksoftirqd の高い CPU 使用率

（BZ#1245345）

この更新は以下のバグも修正します：

* 構成オプション CONFIG_RTC_HCTOSYS がリアルタイムカーネルで無効化されており、システムがローカルタイムに RTC を設定するよう構成されているにもかかわらず、RTC 時計が UTC 時間で調整されていました。システムがローカルタイムを使うよう構成されている場合、CONFIG_RTC_HCTOSYS 構成オプションを有効化することで、RTC はローカルタイムで適切に更新し、他のタイムゾーンを使用しなくなります。（BZ#1248047）

* リアルタイムカーネルにおいて、コンテキストを中断している間に rt_mutex が取得された場合、通常の優先度継承プロトコルは誤ってデッドロックを識別し、カーネルクラッシュを発生させます。rt_mutex をこの中断コンテキストに追加するパッチが戻されました。（BZ#1250649）

kernel-rt の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。この更新を有効にするには、システムを再起動する必要があります。

複数のセキュリティ問題を解決する、更新済みの subversion パッケージが Red Hat Enterprise Linux 7 に使用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Subversion（SVN）はコンカレントバージョンコントロールシステムであり、全ての変更履歴を維持しながら、1 人以上のユーザーがファイルとディレクトリの階層を共同で開発および維持できるようにします。HTTP 経由で Subversion リポジトリにアクセスすることを可能にするために、mod_dav_svn モジュールは Apache HTTP Server で使用されます。

SVN サーバーが、動的に評価されるリビジョン番号で特定のリクエストを処理する方法でアサーション失敗の欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、 SVN サーバー（mod_dav_svn モジュールで svnserve および httpd）をクラッシュさせる可能性があります。
(CVE-2015-0248)

mod_auth_svn モジュールが、Aache httpd 2.4.x で使用される際に、特定の構成下において Subversion リポジトリに対して匿名アクセスを適切に制限していなかったことが判明しました。これにより、ユーザーは、本来は認証されているユーザーのみがアクセス可能な Subversion リポジトリのファイルに匿名でアクセスできます。(CVE-2015-3184)

mod_dav_svn モジュールが、特定のリクエストの svn:author プロパティを適切に検証していなかったことが判明しました。新しいリビジョンを作成できる攻撃者が、この欠陥を悪用し、vn:author プロパティを偽装する可能性があります。
(CVE-2015-0251)

SVN サーバー（mod_dav_svn モジュールで svnserve と httpd の両方）が、ファイルやディレクトリの履歴を検索すると、ファイルまたはディレクトリが読み取り不能な場合（例、移動されている）リポジトリの場所が漏洩する可能性があることが判明しました。
(CVE-2015-3187)

Red Hat は、これらの問題を報告してくれた Apache Software Foundation に感謝の意を表します。Upstream では、CVE-2015-0248 および CVE-2015-0251 の元の情報提供者として VisualSVN の Evgency Kotkov を、CVE-2015-3184 および CVE-2015-3187 の欠陥の元の情報提供者として CollabNet の C. Michael Pilato を認識しています。

Subversion のすべてのユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新済みパッケージをインストールした後に更新を有効にするには、mod_dav_svn を使用している場合は httpd デーモンを、svn:// プロトコル経由で Subversion リポジトリをサーバーとして機能させている場合は svnserve デーモンを再起動する必要があります。

1 つのセキュリティの問題を修正する更新済みの haproxy パッケージが、 Red Hat Enterprise Linux 6 および 7に使用できるようになりました。haproxy は、TCP と HTTP をベースとしたアプリケーションに高い可用性、ロードバランシング、プロキシイングの機能を提供します。

HAProxy の buffer_slow_realign() 関数内に、リクエストおよび応答のメモリ管理に関する実装エラーが見つかりました。認証されていないリモートの攻撃者がこの欠陥を使用して、過去のリクエストまたはセッションからの特定のメモリバッファコンテンツを漏洩する可能性があります。(CVE-2015-3281)

注意：CVE-2015-3281 によると、この問題は、1.5.14 以前の HAProxy バージョン 1.5.x のみに存在する。HAProxy の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

1 つのセキュリティ問題を修正する更新済みの spice-server パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Simple Protocol for Independent Computing Environments（SPICE）は、仮想環境用のリモート表示プロトコルです。SPICE ユーザーは、ローカルシステムまたはサーバーへのネットワークアクセスのある任意のシステムから仮想デスクトップまたはサーバーにアクセスできます。SPICE は Red Hat Enterprise Linux で使用され、カーネルベースの仮想マシン（KVM）ハイパーバイザーまたは Red Hat Enterprise Virtualization Hypervisor 上で実行している仮想ゲストを表示します。

ホスト上の QEMU-KVM コンテキスト下で実行している SPICE の worker_update_monitors_config() 関数に、ヒープベースのメモリ破損を引き起こす競合状態の欠陥が見つかりました。ゲストのユーザーがこの欠陥を利用して、ホストの QEMU-KVM プロセスをクラッシュさせたり、ホストの QEMU-KVM プロセスの権限で任意のコードを実行できる可能性があります。(CVE-2015-3247)

この問題は、Red Hat の Frediano Ziglio 氏により発見されました。

spice-server の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

1 つのセキュリティ問題を修正する更新済みの spice パッケージが Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Simple Protocol for Independent Computing Environments（SPICE）は、仮想環境用のリモート表示プロトコルです。SPICE ユーザーは、ローカルシステムまたはサーバーへのネットワークアクセスのある任意のシステムから仮想デスクトップまたはサーバーにアクセスできます。SPICE は Red Hat Enterprise Linux で使用され、カーネルベースの仮想マシン（KVM）ハイパーバイザーまたは Red Hat Enterprise Virtualization Hypervisor 上で実行している仮想ゲストを表示します。

ホスト上の QEMU-KVM コンテキスト下で実行している SPICE の worker_update_monitors_config() 関数に、ヒープベースのメモリ破損を引き起こす競合状態の欠陥が見つかりました。ゲストのユーザーがこの欠陥を利用して、ホストの QEMU-KVM プロセスをクラッシュさせたり、ホストの QEMU-KVM プロセスの権限で任意のコードを実行できる可能性があります。(CVE-2015-3247)

この問題は、Red Hat の Frediano Ziglio 氏により発見されました。

spice の全ユーザーは、バックポートされたパッチを含むこの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

複数のセキュリティの問題を修正する更新済みの chromium-browser パッケージが、Red Hat Enterprise Linux 6 Supplementary で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Chromium は、WebKit（Blink）が稼働するオープンソースの Web ブラウザです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、Chromium をクラッシュさせたり、 Chromium を実行しているユーザーの権限で任意のコードの実行が引き起こされたりする可能性があります。（CVE-2015-1291、CVE-2015-1292、CVE-2015-1293、CVE-2015-1294、CVE-2015-1295、CVE-2015-1296、CVE-2015-1297、CVE-2015-1298、CVE-2015-1299、CVE-2015-1300、CVE-2015-1301）

Chromium の全ユーザーは、Chromium バージョン 45.0.2454.85 が含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。
更新による変更を有効にするには、更新のインストール後、Chromium を再起動する必要があります。

3 つのセキュリティ問題を修正する更新済みの libXfont パッケージが、 Red Hat Enterprise Linux 6 および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

libXfont パッケージは、X.Org libXfont Runtime ライブラリを提供します。
X.Org は、X Window System のオープンソース実装です。

libXfont が特定の Glyph Bitmap Distribution Format（BDF）フォントを処理する方法で、整数オーバーフローの欠陥が見つかりました。悪意のあるローカルのユーザーがこの欠陥を利用して、X.Org サーバーをクラッシュさせたり、X.Org サーバーの権限で任意のコードを実行できる可能性があります。(CVE-2015-1802)

libXfont が特定の Glyph Bitmap Distribution Format（BDF）フォントを処理する方法で、整数切り捨ての欠陥が発見されました。悪意のあるローカルのユーザーがこの欠陥を利用して、X.Org サーバーをクラッシュさせたり、X.Org サーバーの権限で任意のコードを実行できる可能性があります。(CVE-2015-1804)

libXfont が特定の Glyph Bitmap Distribution Format（BDF）フォントを処理する方法で、NULL ポインターデリファレンスの欠陥が発見されました。悪意のあるローカルのユーザーがこの欠陥を利用して、X.Org サーバーをクラッシュさせる可能性があります。
(CVE-2015-1803)

libXfont　の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

1 つのセキュリティ問題を修正する更新済みの bind97 パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Berkeley Internet Name Domain（BIND）は、ドメインネームシステム（DNS）プロトコルの実装です。BIND には、DNS サーバー（named）、リゾルバーライブラリ（DNS とインターフェイス接続する時に使用するアプリケーション用ルーチン）、および DNS サーバーが正常動作していることを検証するツールが含まれます。

BIND が無効な形式の特定の DNSSEC キーを解析する方法で、サービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用し、特別に細工された DNS クエリ（例：意図的に無効な形式のキーを含むゾーンからの応答を必要とするクエリなど）を送信して、検証リゾルバーとして機能する named をクラッシュさせる可能性があります。(CVE-2015-5722)

Red Hat は、ISC がこの問題を報告してくれたことに感謝の意を表します。Upstream は、 Hanno Böck 氏を第一報告者として認識しています。

bind97 の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。更新のインストール後、BIND デーモン（named）が自動的に再起動します。

一つのセキュリティ問題を修正した更新済み BIND パッケージが Red Hat Enterprise Linux 5 で利用可能になりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Berkeley Internet Name Domain（BIND）は、ドメインネームシステム（DNS）プロトコルの実装です。BIND には、DNS サーバー（named）、リゾルバーライブラリ（DNS とインターフェイス接続する時に使用するアプリケーション用ルーチン）、および DNS サーバーが正常動作していることを検証するツールが含まれます。

BIND が無効な形式の特定の DNSSEC キーを解析する方法で、サービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用し、特別に細工された DNS クエリ（例：意図的に無効な形式のキーを含むゾーンからの応答を必要とするクエリなど）を送信して、検証リゾルバーとして機能する named をクラッシュさせる可能性があります。(CVE-2015-5722)

Red Hat は、ISC がこの問題を報告してくれたことに感謝の意を表します。Upstream は、 Hanno Böck 氏を第一報告者として認識しています。

bind の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。更新のインストール後、BIND デーモン（named）が自動的に再起動します。

一つのセキュリティ問題を修正した更新済み BIND パッケージが Red Hat Enterprise Linux 6、7で利用可能になりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Berkeley Internet Name Domain（BIND）は、ドメインネームシステム（DNS）プロトコルの実装です。BIND には、DNS サーバー（named）、リゾルバーライブラリ（DNS とインターフェイス接続する時に使用するアプリケーション用ルーチン）、および DNS サーバーが正常動作していることを検証するツールが含まれます。

BIND が無効な形式の特定の DNSSEC キーを解析する方法で、サービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用し、特別に細工された DNS クエリ（例：意図的に無効な形式のキーを含むゾーンからの応答を必要とするクエリなど）を送信して、検証リゾルバーとして機能する named をクラッシュさせる可能性があります。(CVE-2015-5722)

Red Hat は、ISC がこの問題を報告してくれたことに感謝の意を表します。Upstream は、 Hanno Böck 氏を第一報告者として認識しています。

bind の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。更新のインストール後、BIND デーモン（named）が自動的に再起動します。

1 件のセキュリティの問題を修正する更新 nss-softokn パッケージが、 Red Hat Enterprise Linux 6 および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

ネットワークセキュリティサービス（NSS）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするために設計された一連のライブラリです。

NSS が特定のECDSA（楕円曲線デジタル署名アルゴリズム）の署名を検証する方法で欠陥が見つかりました。特定の状況で、攻撃者がこの欠陥を悪用し、名偽装脆攻撃を行う可能性があります。
(CVE-2015-2730)

Red Hat は、この問題を報告してくれた Mozilla プロジェクトに感謝の意を表します。Upstream では、Watson Ladd を、この問題の元の情報提供者として認識しています。

すべての nss-softokn のユーザーは、バックポートされたパッチが含まれる更新済みのこれらの更新パッケージにアップグレードし、この問題を訂正することが推奨されます。

1 つのセキュリティ問題を修正する更新済みの jakarta-taglibs-standard パッケージが、Red Hat Enterprise Linux 6 および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

jakarta-taglibs-standard は、Java Standard Tag Library（JSTL）です。このライブラリは、Tomcat および Java Server Pages（JSP）とともに使用されます。

Java Standard Tag Library（JSTL）により、信頼されていない XML ドキュメントの処理が外部エンティティリファレンスを利用できることが判明しました。これにより、ホストシステム上のリソースにアクセスでき、任意のコードが実行される可能性があります。(CVE-2015-0254)

注：jakarta-taglibs-standard ユーザーは、この更新を適用した後に、追加的な手順を施行する必要があります。追加的な手順についての詳細な説明は次に記載されています。

https://access.redhat.com/solutions/1584363

jakarta-taglibs-standard の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

1 つのセキュリティ問題を修正する更新済みの gdk-pixbuf2 パッケージが、 Red Hat Enterprise Linux 6 および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

gdk-pixbuf は、新しい画像形式のための読み込み可能なモジュールによって拡張できる、画像読み込みライブラリです。GTK+ または clutter などのツールキットで使用されます。

GNOME の画像読み込みライブラリである gdk-pixbuf が特定のビットマップ形式の画像のスケールを行う方法で、ヒープベースのバッファオーバーフローを引き起こす整数オーバーフローが見つかりました。攻撃者が特別に細工された BMP 画像を使用し、その画像が gdk-pixbuf ライブラリでコンパイルされたアプリケーションで処理されるときに、アプリケーションをクラッシュさせたり、アプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。(CVE-2015-4491)

Red Hat は、この問題を報告してくれた Mozilla プロジェクトに感謝の意を表します。Upstream は、Gustavo Grieco 氏を第一報告者として認識しています。

gdk-pixbuf2 の全ユーザーは、バックポートされたパッチを含むこれらの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

Red Hat Satellite 6.1 が、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新が重大なセキュリティ上の影響を持つと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Satellite はシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの構成や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや構成管理も行います。

この更新では、Red Hat Enterprise Linux Enterprise Linux 6 用の Satellite 6.1 パッケージを提供します。Satellite 6.1 が提供する新機能の完全なリストについては、「参照」セクションでリンクされているリリースノートを参照してください。（BZ#1201357）

edit_users 権限である Foreman（例えば、Manager ロールに付与される）によって、ユーザーが管理者のユーザーパスワードを編集することが可能になることが判明しました。edit_users 権限を持つ攻撃者がこの欠陥を利用して、管理者のユーザーアカウントにアクセスし、権限を昇格させる可能性があります。(CVE-2015-3235)

Foreman がセッションクッキーで HttpOnly フラグを設定していないことが判明しました。これにより、悪意のあるスクリプトがセッションクッキーにアクセスことができるようになります。(CVE-2015-3155)

Foreman で LDAP 認証ソースに SSL 接続をする際に、リモートのサーバー証明書が既知の認証局に対して検証なしで承認されていたことが判明しました。これにより、TLS 接続が中間者攻撃に脆弱となるおそれがあります。(CVE-2015-1816)

組織が明示的に設定されていない場合に、Foreman が API を通してリソースに対するユーザーアクションを承認する方法に欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、アクセス権のないリソースの追加情報を取得する可能性があります。(CVE-2015-1844)

Foreman のテンプレートのプレビュー画面に、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用し、ユーザーをだまして悪意のあるテンプレートを表示させて、クロスサイトスクリプティング攻撃を行う可能性があります。注：こうしたテンプレートは一般にユーザー間で共有されています。(CVE-2014-3653)

python-oauth2 が署名付きの URL の nonce を適切に検証していないことが判明しました。OAuth2 認証を使用してウェブサイトのネットワークトラフィックを取得できる攻撃者がこの欠陥を利用して、そのウェブサイトに反射攻撃を行う可能性があります。(CVE-2013-4346)

python-oauth2 が nonce に使用するランダム値を適切に生成していないことが判明しました。OAuth2 認証を使用してウェブサイトのネットワークトラフィックを取得できる攻撃者がこの欠陥を利用して、そのウェブサイトに反射攻撃を行う可能性があります。(CVE-2013-4347)

Red Hat は、Foreman HttpOnly 問題を報告してくれた Coresec の Rufus Järnefelt 氏に感謝の意を表します。

Satellite 6.1 を必要とする全ユーザーは、これらの新しいパッケージをインストールすることが推奨されます。

Red Hat Satellite 6.1 が、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat Satellite は、Linux ベースのインフラストラクチャ用のシステム管理ツールです。単一の集中型ツールで、多数の Linux デプロイメントのプロビジョニング、リモート管理および監視を行うことができます。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや構成管理も行います。

この更新では、Red Hat Enterprise Linux Enterprise Linux 7 用の Satellite 6.1 パッケージを提供します。Satellite 6.1 が提供する新機能の完全なリストについては、「参照」セクションでリンクされているリリースノートを参照してください。（BZ#1201357）

Foreman において、edit_users 権限（例えば、Manager ロールに付与されます）により、ユーザーが管理者ユーザーのパスワードを編集できる可能性があることが判明しました。edit_users 権限を持つ攻撃者が、この欠陥を利用して、管理者のユーザーアカウントにアクセスし、権限を昇格させる可能性があります。(CVE-2015-3235)

Foreman がセッションクッキーで HttpOnly フラグを設定していないことが判明しました。これにより、悪意のあるスクリプトがセッションクッキーにアクセスことができるようになります。(CVE-2015-3155)

Foreman で LDAP 認証ソースに SSL 接続をする際に、リモートのサーバー証明書が既知の認証局に対して検証なしで承認されていたことが判明しました。これにより、TLS 接続が中間者攻撃に脆弱となるおそれがあります。(CVE-2015-1816)

組織が明示的に設定されていない場合に、Foreman が API を通してリソースに対するユーザーアクションを承認する方法に欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、アクセス権のないリソースの追加情報を取得する可能性があります。(CVE-2015-1844)

Foreman のテンプレートのプレビュー画面に、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用し、ユーザーをだまして悪意のあるテンプレートを表示させて、クロスサイトスクリプティング攻撃を行う可能性があります。注：こうしたテンプレートは一般にユーザー間で共有されています。(CVE-2014-3653)

python-oauth2 が署名付きの URL の nonce を適切に検証していないことが判明しました。OAuth2 認証を使用してウェブサイトのネットワークトラフィックを取得できる攻撃者がこの欠陥を利用して、そのウェブサイトに反射攻撃を行う可能性があります。(CVE-2013-4346)

python-oauth2 が nonce に使用するランダム値を適切に生成していないことが判明しました。OAuth2 認証を使用してウェブサイトのネットワークトラフィックを取得できる攻撃者がこの欠陥を利用して、そのウェブサイトに反射攻撃を行う可能性があります。(CVE-2013-4347)

Red Hat は、foreman HttpOnly 問題を報告してくれた Coresec の Rufus Järnefelt 氏に感謝の意を表します。

Satellite 6.1 を必要とする全ユーザーは、これらの新しいパッケージをインストールすることが推奨されます。

Red Hat JBoss Enterprise Application Platform 6.3.3 を提供し、多数のセキュリティ問題と複数のバグを修正し、多様な拡張機能を追加する、更新済みのパッケージが、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

RESTEasy DocumentProvider が、 external-parameter-entities と external-general-entities の機能を適切に設定していないため、外部エンティティが拡張される可能性があることが、判明しました。RESTEasy エンドポイントに XML リクエストを送信できるリモートの攻撃者が、この欠陥を利用して、アプリケーションサーバーを実行しているユーザーがアクセスできるファイルを読み取り、より高度な別の XML eXternal Entity（XXE）攻撃をさらに仕掛ける可能性があります。(CVE-2014-7839)

ロールベースアクセスコントロール（RBAC）の実装が、特定の管理アクションを行うためにメンテナーの役割を必要としているすべての承認条件を、充分に検証していないことが判明しました。メンテナーの役割を持つ認証されているユーザーが、この欠陥を利用して、他の方法では書き込むことができない限定された一連の属性とその値を、追加、変更、または未定義にする可能性があります。
(CVE-2014-7849)

JBoss Application Server（WildFly）の JacORB サブシステムが、security-domain 属性の socket-binding-ref 秘密度分類を間違って割り当てていることが判明しました。認証されたユーザーが、その役割で security-domain-ref ではなく socket-binding-ref の秘密度分類がある属性にアクセスできる場合、この欠陥を利用して、 security-domain 属性に存在する機密情報にアクセスする可能性があります。(CVE-2014-7853)

org.jboss.security.plugins.mapping.JBossMappingManager の実装が、未定義のセキュリティドメインを処理する際に、使用できる場合にデフォルトのセキュリティドメインに戻ることが見つかりました。定義されたデフォルトのドメインで認証情報が有効であり、想定されるアプリケーションドメインでその役割が有効な場合に、ユーザーが、他の場合には不可能な、アクションを実行する可能性があります。JBossMappingManager が、 SAML2 STS ログインモジュールを使用している場合に、この問題を露呈していました。これは、PicketLink Trust SecurityActions の実装が、コンテキストを定義する際に、ハードコーディングされたデフォルト値を使用していたためです。(CVE-2014-7827)

スレッドローカルな変数に保存されているカンバセ―ション状態の情報が、特定の状況でカンバセ―ションの終了時に正しくサニタイズされていないことが判明しました。これにより、競合状態が引き起こされることがあるため、以前のカンバセ―ションの機密情報が現在のカンバセ―ションに漏洩する可能性があります。(CVE-2014-8122)

Red Hat は、CVE-2014-8122 の問題を報告してくれた JProfessionals の Rune Steinseth 氏に感謝の意を表します。CVE-2014-7849 と CVE-2014-7853 の問題は Red Hat JBoss Enterprise アプリケーションプラットフォームチームの Darran Lofthouse 氏により、 CVE-2014-7827 の問題は Red Hat 品質エンジニアリングチームの Ondra Lukas 氏により発見されました。

このリリースは、Red Hat JBoss Enterprise Application Platform 6.3.2 を置き換え、バグ修正および拡張機能を提供します。
これらの変更についてのドキュメントは、「参照」セクションのリンクから入手できます。

Red Hat Enterprise Linux 6 での Red Hat JBoss Enterprise Application Platform 6.3 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることを推奨します。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

2 つのセキュリティの問題といくつかのバグを修正する更新済みの rhevm-spice-client パッケージが、Red Hat Enterprise Virtualization Manager 3 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise Virtualization Manager は、SPICE を使用する仮想マシンへのアクセス権を提供します。これらの SPICE クライアントパッケージは、 Windows 32 ビットおよび 64 ビット両方のオペレーティングシステムに対応した SPICE クライアントと usbclerk サービスを提供します。

含まれている Supported EC Point Format 拡張で OpenSSL が ServerHello メッセージを処理する方法に、競合状態が見つかりました。悪意あるサーバーが、この欠陥を利用して、OpenSSL を使用しているマルチスレッド TLS/SSL クライアントに、開放されたメモリに対して書き込みを行わさせる可能性があります。これにより、クライアントがクラッシュしたり、任意のコードが実行されたりします。
(CVE-2014-3509)

OpenSSL がフラグメント化されたハンドシェイクパケットを処理する方法で、欠陥が見つかりました。中間者攻撃を行う攻撃者が、この欠陥を利用して、 OpenSSL を使用する TLS/SSL サーバーに TLS 1.0 の使用を強制する可能性があります。これは、クライアントおよびサーバーの両方が、新しいバージョンのプロトコルをサポートしている場合でも当てはまります。(CVE-2014-3511)

この更新は以下のバグも修正します：

* 以前は、クライアントまたはゲストで操作されているさまざまなクリップボードマネージャが、同期にときどき失敗していました。これにより、クリップボードのデータが損失し、SPICE コンソールがフリーズしていました。現在では、spice-gtk にパッチが適用され、クリップボードの同期により SPICE コンソールがフリーズしなくなっています。（BZ#1083489）

* この更新が出る前は、SPICE コンソールが「ネイティブクライアント」の呼び出しメソッドで「フルスクリーンで開く」を選択した状態で Red Hat Enterprise Virtualization ユーザーポータルから起動されると、ゲスト仮想マシンのディスプレイがクライアントディスプレイに一致しないで構成されるときがありました。この更新が出た後は、SPICE コンソールは各クライアントモニターに対してフルスクリーンのゲストディスプレイを表示するようになっています。（BZ#1076243）

* Linux と Windows のクライアント間にある挙動の違いにより、ゲストマシンで Windows クライアントからテキストを貼りつけるときに、余計な nul 文字が送信されていました。この目に見えない文字が、一部の Java アプリケーションで表示されていました。この更新により、余計な nul 文字がテキスト文字列から削除され、余計な文字が表示されないようになりました。（BZ#1090122）

* 以前は、クリップボードのタイプが画像/bmp で、データが 0 サイズの場合、GTK+ がクラッシュします。この更新により、データのサイズが最初にチェックされるようになり、クリップボードのタイプが画像/bmp で、データが 0 サイズの場合でも、GTK+ がクラッシュしなくなりました。（BZ#1090433）

* 修飾子のみのキーコンビネーションをユーザーがホットキーとして登録できません。このため、ユーザーが修飾子のみのキーシーケンス（「ctrl+alt」など）をカーソルをリリースするホットキーとして設定しようとすると、失敗し、ユーザーはそのウィンドウからカーソルをリリースできていました。
この更新により、修飾子のみのホットキーを登録しようとすると、デフォルトカーソルリリースシーケンス（「ctrl+alt」のことです）に戻るようになりました。（BZ#985319）

* ディスプレイ構成は、ゲストディスプレイを整列し、構成するために、remote-viewer ウィンドウの位置に関して旧式の情報をときどき使用していました。これにより、ウィンドウがサイズ変更されると、ゲストディスプレイが予期せずにスワップすることがありました。この更新により、remote-viewer　が、旧式である可能性のあるキャッシュされた場所情報ではなく、現在のウィンドウの場所を常に使用するようになりました。（BZ#1018182）

rhevm-spice-client の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Red Hat Enterprise Virtualization Manager 3.5.0 が、現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise Virtualization Manager は、Red Hat Enterprise Linux および Microsoft Windows を実行する仮想サーバーのコレクションを集中的に管理するための仮想ツールです。このパッケージには、管理者による Red Hat Enterprise Virtualization Manager 上でのクエリと操作の実行を可能にする、スクリプト可能なコマンドセットである Red Hat Enterprise Virtualization Manager API も含まれています。

このマネージャーは JBoss Application Server アプリケーションであり、管理ポータル、ユーザーポータル、および Representational State Transfer（REST）アプリケーションプログラミングインターフェイス（API）を含む、仮想環境へのアクセスおよび相互作用が可能な複数のインターフェイスを提供します。

HttpClient が X.509 証明書サブジェクトのコモンネーム（CN）フィールドからホスト名を不適切に抽出していることが判明しました。中間者攻撃者によってこの欠陥が使用されて、特別に細工された X.509 証明書を使用し、SSL サーバーが偽装されることがありました。（CVE-2012-6153、 CVE-2014-3577）

oVirt REST API に、クロスサイトリクエスト偽造（CSRF）の欠陥が見つかりました。リモートの攻撃者が、特別に細工された Web ページを提供する可能性があります。このため、有効な REST API セッションによってユーザーがこのページにアクセスすると、攻撃者が、oVirt REST API に対する呼び出しを発生させる可能性があります。
(CVE-2014-0151)

oVirt Web 管理者インターフェイスが、Set-Cookie ヘッダーでセッション ID を設定する際に HttpOnly フラグを含めていないことが見つかりました。
この欠陥により、リモートの攻撃者が、クロスサイトスクリプティング（XSS）の脆弱性を利用して oVirt Web 管理者セッションをハイジャックしやすくなる可能性があります。(CVE-2014-0154)

CVE-2012-6153 の問題は、 Red Hat 製品セキュリティの Florian Weimer によって検出されました。

これらの更新済み Red Hat Enterprise Virtualization Manager パッケージには、多くのバグ修正と多数の強化も含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。ユーザーは「参照」でリンクされている Red Hat Enterprise Virtualization 3.5 マネージャーリリースノートのドキュメントに移動して、これらの変更に関する最も重要な情報を参照できます。

Red Hat Enterprise Virtualization Manager の全ユーザーはこれらの更新済みパッケージへアップグレードし、これらの問題を解決し、強化を追加することを推奨します。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2015:1565 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - カーネル: 拡張機能のサービス拒否を追跡する netfilter 接続 (CVE-2014-9715)

  - カーネル: 初期のマイクロコードローダーでの実行 (CVE-2015-2666)

  - カーネル: ルーターアドバタイズメントの不適切な処理が原因の IPv6 ネットワークスタックに対するサービス拒否 (DoS) 攻撃。(CVE-2015-2922)

  - カーネル: ping ソケット: ローカルの権限昇格を引き起こすメモリ解放後使用 (Use After Free) (CVE-2015-3636)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

複数のセキュリティ問題および 1 つのバグを修正する更新済みの qpid-cpp パッケージが Red Hat Enterprise Linux 7 用の Red Hat Enterprise MRG Messaging 2.5 に使用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

Qpid パッケージは、Qpid C++ を使用して開発された AMQP クライアントアプリケーションのためのランタイムライブラリとともにオープン AMQP メッセージングプロトコルを使用してメッセージを受信、保存およびルーティングするメッセージブローカーデーモンを提供します。クライアントは、AMQP プロトコルを使用して AMQP メッセージブローカーとメッセージを交換します。

ANONYMOUS メカニズムが許可されない場合に、Qpid デーモン（qpidd）が匿名ユーザーにアクセスを制限しないことが見つかっていました。
(CVE-2015-0223)

複数の欠陥が Qpid デーモン（qpidd）がある種のプロトコルシーケンスを処理する方法で見つかりました。認証されていない攻撃者が、特別に細工されたプロトコルシーケンスを送信できる場合、この欠陥を利用して qpidd をクラッシュさせるおそれがありました。（CVE-2015-0203、 CVE-2015-0224）

Red Hat は、CVE-2015-0203 の問題を報告してくれた Apache Software Foundation に感謝の意を表します。Upstream では、MWR Labs の G. Geshev 氏をオリジナルレポーターと認識しています。

この更新では以下のバグも修正されます。

* この更新以前は、メッセージパージはタイマースレッド上で実行されていたため、大きなパージイベントで、他のすべてのタイマータスクが遅延していました。ハートビートもこのスレッド上のタイマーにより駆動されているため、ハートビートを受信できなくなり、これにより、クライアントがタイムアウトするおそれがありました。この修正で、失効したメッセージパージがタイマースレッドからワーカースレッドに移動されるため、長時間実行されている失効したメッセージパージがハートビートタイマーなどのタイマータスクに影響しなくなります。（BZ#1142833）

Red Hat Enterprise Linux 7 用の Red Hat Enterprise MRG Messaging 2.5 の全ユーザーは、更新済みのパッケージへアップグレードし、これらの問題を修正することが推奨されます。

2 つのセキュリティ問題を修正する更新済み firefox パッケージが、 Red Hat Enterprise Linux 5、6、7 で使用できるようになりました。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Firefox はオープンソースの Web ブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。

無効な形式の Web コンテンツの処理で欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページが、Firefox をクラッシュさせたり、 Firefox を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2015-4497)

Firefox がアドオンのインストールを処理する方法で、欠陥が見つかりました。
攻撃者がこの欠陥を悪用し、アドオンのインストールのプロンプトをバイパスし、ユーザーを騙して悪意があるソースからのアドオンをインストールさせる可能性があります。(CVE-2015-4498)

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream では、Jean-Max Reymond、Ucha Gobejishvili、 Bas Venis をこれらの問題の元の情報提供者として認識しています。

Firefox の全ユーザーは、Firefox バージョン 38.2.1 ESR が含まれるこれらの更新済みのパッケージへアップグレードし、これらの問題を修正する必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

複数のセキュリティ問題を修正する更新済み thunderbird パッケージが、 Red Hat Enterprise Linux 5、6、および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、Thunderbird をクラッシュさせたり、 Thunderbird を実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2015-4473、CVE-2015-4491、CVE-2015-4487、 CVE-2015-4488、CVE-2015-4489）

注：メールメッセージに対して JavaScript がデフォルトで無効になっているため、上述した問題のすべては、特別に細工された HTML メールメッセージにより悪用されません。ただし、Thunderbird では、別の方法（例、RSS フィードのフルリモートコンテンツを表示する）で悪用されることがあります。

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream では、Gary Kwong、Christian Holler、Byron Campen、Gustavo Grieco、Ronald Crane をこれらの問題の元の情報提供者として認識しています。

これらの欠陥の技術的な詳細については、Thunderbird 38.2 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。

Thunderbird の全ユーザーは、Thunderbird バージョン 38.2 が含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。この更新を有効にするには、更新をインストールした後、Thunderbird を再起動する必要があります。

セキュリティの問題と複数のバグを修正し、さまざまな機能強化を追加する、 Red Hat JBoss Enterprise Application Platform 6.4.3 の更新パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

このリリースは、Red Hat JBoss Enterprise Application Platform 6.4.2 を置き換え、バグ修正および強化を含んでいます。
これらの変更についてのドキュメントは、リファレンスでリンクされている Red Hat JBoss Enterprise Application Platform 6.4.3 のリリースノートから間もなく入手できます。

このリリースでは、次のセキュリティ問題も修正されます：

特定の状況で、PicketLink IDP がロールベースの承認を無視することが分かっています。これにより、認証を受けているユーザーが、該当するロールでは許可されないアプリケーションリソースにアクセスできるようになる可能性があります。(CVE-2015-3158)

Red Hat Enterprise Linux 6 で、Red Hat JBoss Enterprise Application Platform 6.4 を使用している全ユーザーは、この更新済みパッケージにアップグレードし、これらのバグを修正し、これらの強化を追加する必要があります。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

セキュリティの問題と複数のバグを修正し、さまざまな機能強化を追加する、 Red Hat JBoss Enterprise Application Platform 6.4.3 の更新パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

このリリースは、Red Hat JBoss Enterprise Application Platform 6.4.2 を置き換え、バグ修正および強化を含んでいます。
これらの変更についてのドキュメントは、リファレンスでリンクされている Red Hat JBoss Enterprise Application Platform 6.4.3 のリリースノートから間もなく入手できます。

このリリースでは、次のセキュリティ問題も修正されます：

特定の状況で、PicketLink IDP がロールベースの承認を無視することが分かっています。これにより、認証を受けているユーザーが、該当するロールでは許可されないアプリケーションリソースにアクセスできるようになる可能性があります。(CVE-2015-3158)

Red Hat Enterprise Linux 5 で、Red Hat JBoss Enterprise Application Platform 6.4 を使用している全ユーザーは、この更新済みパッケージにアップグレードし、これらのバグを修正し、これらの強化を追加する必要があります。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

セキュリティの問題と複数のバグを修正し、さまざまな拡張機能を追加する、更新済み jboss-ec2-eap パッケージが、Red Hat Enterprise Linux 6 の Red Hat JBoss Enterprise Application Platform 6.4.3 で現在利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、Java EE アプリケーション用のプラットフォームです。JBoss Application Server 7 をベースにしており、完全な Java EE プラットフォームソリューションを提供するために複数のオープンソースプロジェクトが組み込まれています。

* jboss-ec2-eap パッケージは、Amazon Web Services（AWS）Elastic Compute Cloud（EC2）で実行する Red Hat JBoss Enterprise Application Platform 用のスクリプトを提供します。この更新により、Red Hat JBoss Enterprise Application Platform 6.4.3 との互換性を確保するためにパッケージが更新されています。（BZ#1228766）

このリリースでは、次のセキュリティ問題も修正されます：

特定の状況で、PicketLink IDP がロールベースの承認を無視することが分かっています。これにより、認証を受けているユーザーが、該当するロールでは許可されないアプリケーションリソースにアクセスできるようになる可能性があります。(CVE-2015-3158)

Red Hat JBoss Enterprise Application Platform 6.4.2 jboss-ec2-eap のユーザーは、この更新済みパッケージへアップグレードし、これらのバグを修正し、これらの拡張機能を追加することが推奨されます。

1 件のセキュリティの問題を修正する更新済み httpd パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

httpd パッケージにより、強力で効率の良い、拡張可能な Web サーバーである、 Apache HTTP Server が提供されます。

httpd が HTTP リクエストを解析し、チャンク転送エンコーディングを使用して応答する方法で、複数の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、特別に細工されたリクエストを作成し、 httpd に HTTP プロキシソフトウェアから異なる方法でデコードさせ、 HTTP リクエストスマグリング攻撃を引き起こす可能性があります。(CVE-2015-3183)

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新パッケージにアップグレードし、この問題を修正することが推奨されます。更新済みパッケージをインストールすると、 httpd サービスが自動的に再起動されます。

2 件のセキュリティ問題を修正する httpd パッケージの更新が、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージにより、強力で効率の良い、拡張可能な Web サーバーである、 Apache HTTP Server が提供されます。

httpd が HTTP リクエストを解析し、チャンク転送エンコーディングを使用して応答する方法で、複数の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、特別に細工されたリクエストを作成し、 httpd に HTTP プロキシソフトウェアから異なる方法でデコードさせ、 HTTP リクエストスマグリング攻撃を引き起こす可能性があります。(CVE-2015-3183)

httpd 2.4 で、内部 API 関数 ap_some_auth_required() が、認証が使用されていないのに、リクエストが認証されたと間違って示したことが判明しました。この API 機能を使用する httpd モジュールが、結果的に、拒否されるべきアクセスを許可する可能性があります。(CVE-2015-3185)

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。更新済みパッケージをインストールすると、 httpd サービスが自動的に再起動されます。

複数のセキュリティ問題を修正する更新済みの mariadb パッケージが、 Red Hat Enterprise Linux 7 で現在利用できます。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

MariaDB は、MySQL とバイナリ相互性のあるマルチユーザーかつマルチスレッド SQL データベースサーバーです。

MySQL クライアントライブラリが、｢--ssl｣オプションを使用して、MySQL サーバーへセキュアな接続を確立する際に、クライアントが SSL/TLS を使用することを許可しますが、要求していなかったことが分かりました。中間者攻撃者が、この欠陥を悪用し、クライアントとサーバーの間での接続から、 SSL/TLS 保護を除外する可能性があります。(CVE-2015-3152)

この更新により、MariaDB データベースサーバーにある複数の脆弱性が修正されます。この欠陥の詳細については、「参照」セクションに一覧されている Oracle Critical Patch Update アドバイザリページを参照してください。
（CVE-2015-0501、 CVE-2015-2568、CVE-2015-0499、CVE-2015-2571、 CVE-2015-0433、CVE-2015-0441、CVE-2015-0505、 CVE-2015-2573、CVE-2015-2582、CVE-2015-2620、 CVE-2015-2643、CVE-2015-2648、CVE-2015-4737、 CVE-2015-4752、CVE-2015-4757）

これらの更新済みパッケージでは、MariaDB をバージョン 5.5.44 にアップグレードします。変更内容の完全なリストについては、「参照」セクションにリストされている MariaDB のリリースノートを参照してください。

MariaDB の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。この更新のインストール後、MariaDB サーバーデーモン（mysqld）が自動的に再起動します。

2 件のセキュリティの問題と複数のバグを修正し、さまざまな拡張機能を追加する更新済みの nss パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

ネットワークセキュリティサービス（NSS）は、セキュリティが有効なクライアントおよびサーバーのアプリケーションのクロスプラットフォーム開発をサポートするために設計された一連のライブラリです。

NSS が、ECDHE（楕円曲線ディフィー・ヘルマン鍵交換）が関係するハンドシェイク中に、 ServerKeyExchange パケットのスキップを許可していたことが分かりました。リモートの攻撃者がこの欠陥を悪用し、 TLS/SSL 接続のフォワードセキュリティをバイパスする可能性があります。(CVE-2015-2721)

NSS が特定のECDSA（楕円曲線デジタル署名アルゴリズム）の署名を検証する方法で欠陥が見つかりました。特定の状況で、攻撃者がこの欠陥を悪用し、名偽装脆攻撃を行う可能性があります。
(CVE-2015-2730)

Red Hat は、この問題を報告してくれた Mozilla プロジェクトに感謝の意を表します。Upstream では、Karthikeyan Bhargavan を CVE-2015-2721 の元の情報提供者として、 Watson Ladd を CVE-2015-2730 の元の情報提供者として認識しています。

nss パッケージが Upstream バージョン 3.19.1 にアップグレードされています。ここでは、以前のバージョンから、多くのバグ修正と機能強化が行われています。

すべての nss のユーザーは、これらの問題を訂正する、これらの更新済みパッケージにアップグレードすることが推奨されます。

2 件のセキュリティ問題を修正する Red Hat JBoss Web Server 2.1.0 の更新が、Red Hat Enterprise Linux 5、6、および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

mod_cluster マネージャーが特定の MCMP メッセージを処理する方法で欠陥が見つかりました。MCMP メッセージの発信が許可されたネットワークへアクセスできる攻撃者がこの欠陥を利用して、mod_cluster マネージャー Web インターフェイスで任意の　JavaScript コードを実行する可能性があります。
(CVE-2015-0298)

以前の JkMount ルールのサブツリーに対する JkUnmount ルールが無視される可能性があることが判明しました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。(CVE-2014-8111)

Red Hat JBoss Web Server 2.1.0 の全ユーザーは、この更新を適用することが推奨されます。この更新を有効にするには、Red Hat JBoss Web Server プロセスを再起動する必要があります。

1 つのセキュリティ問題と 2 つのバグを修正する更新済みのカーネルパッケージが、 Red Hat Enterprise Linux 6.4 Advanced Update Support で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

カーネルパッケージには Linux オペレーティングシステムのコアである Linux カーネルが含まれています。

* 偽造された切断中に Linux カーネルの ping ソケットの実装が、ソケットのハッシュ化解除を適切に処理しないことが分り、 use-after-free の欠陥につながる可能性があります。x86-64 アーキテクチャシステムでは、 ping ソケットを作成できるローカルユーザーがこの欠陥を利用し、システムをクラッシュさせる恐れがあります。非 x86-64 アーキテクチャシステムでは、 ping ソケットを作成できるローカルユーザーがこの欠陥を利用し、システム上での権限を昇格する恐れがあります。（CVE-2015-3636、重要度中）

この更新は以下のバグも修正します：

* 不適切なメモリまたはメモリ破損により、分離した BUG_ON(mm->nr_ptes) が報告されることがあり、exit_mmap() 関数がユーザーアドレス空間を削除する際に、割り当てられた全てのページテーブルが発見され、解放されるとは限らない可能性があることを示しています。その結果、カーネルパニックが発生しました。このバグを修正するために、BUG_ON() 関数が WARN_ON() で置換され、前述の状況でもカーネルがパニックにならないように防ぎます。（BZ#1235929）

* 以前は、メタデータブロックを読み取り、検証しないで使用するのは、ext4 ドライバーのためでした。メタデータブロックが破損すると、カーネルパニックが発生する可能性があります。この更新で、すべてのバッファが使用される前に検証を強制され、これによって破損が分かり、破損しているメタデータのバッファがさらに使用されることを防ぎます。（BZ#1242930）

カーネルの全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするには、システムを再起動する必要があります。

1 件のセキュリティの問題を修正する更新済み pam パッケージが、 Red Hat Enterprise Linux 6 および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Pluggable Authentication Modules（PAM）は、認証を処理するプログラムを再コンパイルせずに、管理者が認証ポリシーを設定できるシステムを提供します。

PAM の unix_pam モジュールの _unix_run_helper_binary() 関数が、ブロッキングパイプに書き込み、関数を応答不能にする可能性があります。unix_pam モジュールに大きなパスワードを提供することができる攻撃者が、この欠陥を悪用し、有効なユーザーアカウントを列挙したり、システムでサービス拒否を引き起こしたりする可能性があります。
(CVE-2015-3238)

Red Hat は、この問題を報告してくれた Trustwave SpiderLabs の Sebastien Macke 氏に感謝の意を表します。

すべての pam のユーザーは、バックポートされたパッチを含んでいるこの更新済みのパッケージにアップグレードし、この問題を訂正することが推奨されます。

1 件のセキュリティの問題を修正する更新済みの net-snmp パッケージが、 Red Hat Enterprise Linux 6 および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

net-snmp パッケージは、拡張可能エージェントである SNMP ライブラリを含む簡易ネットワーク管理プロトコル（SNMP）向けのさまざまなライブラリとツール、SNMP エージェントからの情報をリクエストまたは設定するためのツール、SNMP を使用する netstat コマンドのバージョンである SNMP トラップを生成および処理するためのツール、 Tk/Perl 管理情報ベース（MIB）ブラウザを提供します。

Snmp_pdu_parse() 関数が完全に解析されていない varBind 変数を変数リストに載せる可能性があることが分かりました。認証されていないリモートの攻撃者が、この欠陥を悪用し、snmpd をクラッシュさせたり、 snmpd を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。(CVE-2015-5621)

Red Hat は、この問題の報告について、中国の QIHU 360 社の Qinghao Tang に感謝の意を表します。

すべてのnet-snmpのユーザーは、バックポートされたこれらの更新済みパッケージにアップグレードし、この問題を訂正することが推奨されます。

3 件のセキュリティの問題を修正する更新済みの sqlite パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

SQLite は、SQL データベースエンジンを実装する C ライブラリです。SQL92 の大きいサブセットがサポートされています。完全なデータベースが、単一のディスクファイルに保存されています。この API は、便利さおよび使いやすさのために設計されています。
SQLite にリンクされているアプリケーションは、個別のデータベースサーバーをサポートするために管理者が苦労しなくても、 SQL データベースのパワーや柔軟性を活用できます。

SQLite が照合順番名のデクォートを処理する方法で、欠陥が見つかりました。ローカルの攻撃者が、特別に細工された COLLATE ステートメントを送信し、SQLite プロセスをクラッシュさせたり、その他の詳細不明な影響を与えたりする可能性があります。(CVE-2015-3414)

SQLite の sqlite3VdbeExec() 関数が、比較演算子を適切に実装していないことが判明しました。ローカルの攻撃者が、特別に細工された CHECK ステートメントを送信し、SQLite プロセスをクラッシュさせたり、その他の詳細不明な影響を与える可能性があります。(CVE-2015-3415)

SQLite の sqlite3VXPrintf() 関数が、浮動小数点の変換の際に、精度や幅の値を適切に処理していないことが分かりました。ローカルの攻撃者が、特別に細工されたSELECT ステートメントを送信し、 SQLite プロセスをクラッシュさせたり、その他の詳細不明な影響を与える可能性があります。
(CVE-2015-3416)

sqlite の全ユーザーは、バックポートされたパッチが含まれているこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

ID	名前	深刻度
86411	RHEL 5：JBoss EAP（RHSA-2015:1904）	medium
86396	RHEL 6：Flash プラグイン（RHSA-2015:1893）	critical
86362	RHEL 7：spice（RHSA-2015:1890）	high
86361	RHEL 6：spice-server（RHSA-2015:1889）	high
86306	RHEL 6：swiftonfile（RHSA-2015：1845）	medium
86242	RHEL 6：mod_proxy_fcgi（RHSA-2015:1855）	medium
86241	RHEL 5 / 6 / 7：Thunderbird（RHSA-2015:1852）	high
86201	RHEL 6 : chromium-browser (RHSA-2015:1841)	high
86200	RHEL 5/6/7：openldap（RHSA-2015:1840）	medium
86099	RHEL 5/6/7：firefox（RHSA-2015:1834）	high
86098	RHEL 6：qemu-kvm（RHSA-2015:1833）	medium
86097	RHEL 5 / 6：Flash プラグイン（RHSA-2015:1814）	critical
86000	RHEL 6：qemu-kvm-rhev（RHSA-2015:1740）	medium
85999	RHEL 6：rhev-hypervisor（RHSA-2015:1713）	high
85981	RHEL 7：qemu-kvm（RHSA-2015:1793）	medium
85980	RHEL 7：kernel-rt（RHSA-2015:1788）	high
85979	RHEL 6：kernel-rt（RHSA-2015:1787）	critical
85978	RHEL 7：subversion（RHSA-2015:1742）	medium
85977	RHEL 6 / 7：haproxy 1.5 （RHSA-2015:1741）	medium
85976	RHEL 6：spice-server（RHSA-2015:1715）	medium
85975	RHEL 7：spice（RHSA-2015:1714）	medium
85974	RHEL 6 : chromium-browser (RHSA-2015:1712)	high
85973	RHEL 6 / 7 : libXfont （RHSA-2015:1708）	high
85972	RHEL 5：bind97（RHSA-2015:1707）	high
85971	RHEL 5：bind（RHSA-2015:1706）	high
85970	RHEL 6 / 7：bind（RHSA-2015:1705）	high
85969	RHEL 6/7：nss-softokn（RHSA-2015:1699）	medium
85718	RHEL 6/7：jakarta-taglibs-standard（RHSA-2015：1695）	high
85717	RHEL 6/7：gdk-pixbuf2（RHSA-2015:1694）	medium
85716	RHEL 6：Satellite サーバー（RHSA-2015:1592）	medium
85715	RHEL 7：Satellite サーバー（RHSA-2015:1591）	medium
85714	RHEL 7：JBoss EAP（RHSA-2015:0218）	medium
85713	RHEL 6：rhevm-spice-client（RHSA-2015:0197）	medium
85712	RHEL 6：Virtualization Manager（RHSA-2015:0158）	medium
85705	RHEL 7 : kernel-rt (RHSA-2015:1565)	high
85704	RHEL 7：qpid-cpp（RHSA-2015:0660）	high
85680	RHEL 5/6/7：firefox（RHSA-2015:1693）	critical
85645	RHEL 5 / 6 / 7：Thunderbird（RHSA-2015:1682）	critical
85644	RHEL 6：JBoss EAP（RHSA-2015:1670）	medium
85643	RHEL 5：JBoss EAP（RHSA-2015:1669）	medium
85619	RHEL 6：jboss-ec2-eap バグ修正（RHSA-2015:1673）	medium
85618	RHEL 6：httpd（RHSA-2015:1668）	medium
85617	RHEL 7：httpd（RHSA-2015:1667）	medium
85616	RHEL 7：mariadb（RHSA-2015:1665）（BACKRONYM）	medium
85615	RHEL 5 : nss（RHSA-2015:1664）	medium
85563	RHEL 5/6：JBoss Web Server（RHSA-2015:1642）	medium
85531	RHEL 6：カーネル（RHSA-2015:1643）	medium
85530	RHEL 6/7：pam（RHSA-2015:1640）	medium
85497	RHEL 6 / 7：net-snmp（RHSA-2015:1636）	critical
85496	RHEL 7：sqlite（RHSA-2015:1635）	high

検出

Nessus 用の Red Hat Local Security Checks ファミリー

medium

critical

high

high

medium

medium

high

high

medium

high

medium

critical

medium

high

medium

high

critical

medium

medium

medium

medium

high

high

high

high

high

medium

high

medium

medium

medium

medium

medium

medium

high

high

critical

critical

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

critical

high