自己報告されたバージョン番号によると、リモートホストでリッスンしているApache Tomcat は、Tomcat 6.0.16 より前のバージョンであり、そのために複数の脆弱性の影響を受けることがあります。

  - リモートにインストールされている Apache Tomcat は、クッキーを介した情報漏洩攻撃に脆弱なことがあります。CVE-2007-3385 の以前の修正は不完全であり、クッキー値での引用符や「%5C」の使用を考慮しませんでした。
    （CVE-2007-3385、CVE-2007-5333）

  - JULI ロギングコンポーネントのデフォルトのセキュリティポリシーでは、ファイルへのアクセス権が制限されませんでした。
    これは、信頼されていない Web アプリケーションによって悪用されて、Tomcat プロセスのコンテキストで任意のファイルにアクセスして書き込まれることがあります。（CVE-2007-5342）

  - Apache Tomcat の WebDAV サーブレットに、ディレクトリトラバーサル脆弱性がありました。一部の構成では、認証されていないリモート攻撃者が、ローカルの Tomcat プロセスがアクセス可能なファイルをこれによって読み取ることができました。（CVE-2007-5461）

  - ネイティブ APR コネクターが使用されている場合、SSL ポートへの空のリクエストが適切に処理されません。これにより、Netcat を使って空のリクエストを送信することで示されているように、リモートの攻撃者は、最近のリクエストの 1 つの複製コピーの処理をトリガできます。
    （CVE-2007-6286）

  - 例外などで処理やパラメータが中断された場合、そのパラメータをその後のリクエストの一部として処理できます。（CVE-2008-0002）

Nessus では、この欠陥を実際にはテストしていませんが、その代わりに Tomcat のバナーのバージョンまたはエラー ページに依存しているため、誤検出の可能性があることに、注意してください。

4.2.0.CP02 リリースを含む新しい JBoss Enterprise Application Platform（JBEAP）パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

JBEAP は、Java 2 Platform、Enterprise Edition（J2EE）アプリケーション用のミドルウェアプラットフォームです。

Red Hat Enterprise Linux 5 用のこの JBEAP リリースには、JBEAP 4.2.0.GA_CP01 の代替えとして、JBoss Application Server および JBoss Seam が含まれています。これらの更新済みパッケージは、多数のバグを修正し、拡張機能を追加するだけでなく、いくつかのセキュリティ問題にも対処しています。

JFreeChart コンポーネントは、複数のクロスサイトスクリプティング（XSS）の脆弱性に対して脆弱でした。攻撃者が画像マップ機能を悪用し、チャートエリアのいくつかの属性を介して、任意の Web スクリプトまたは HTML を注入する可能性があります。(CVE-2007-6306)

静的 java メソッドを漏洩することにより生じる脆弱性が、HSQLDB コンポーネントにあります。これが攻撃者に利用されて、任意の静的 java メソッドが実行される可能性があります。(CVE-2007-4575)

org.jboss.seam.framework.Query クラスの setOrder メソッドが、ユーザー指定のパラメーターを適切に検証していませんでした。この脆弱性により、リモートの攻撃者がオーダーのパラメーターを介して、任意の EJBQL コマンドを注入し、実行することが可能です。(CVE-2007-6433)

この更新に含まれるバグ修正と拡張機能の詳細については、以下の「参照」セクションにリンクがある JBoss Enterprise Application Platform 4.2.0.CP02 のリリースノートを参照してください。

JBoss Enterprise Application Platform の使用を希望する Red Hat Enterprise Linux 5 の全ユーザーは、これらの新しいパッケージをインストールすることが推奨されます。

いくつかのセキュリティ問題を修正する更新済みの JBoss Enterprise Application Platform（JBEAP）パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

JBoss Enterprise Application Platform（JBEAP）は、Java 2 Platform、Enterprise Edition（J2EE）アプリケーション用のミドルウェアプラットフォームです。

Red Hat Enterprise Linux 4 用の JBEAP リリースには、JBoss Application Server および JBoss Seam が含まれています。このリリースは、JBEAP 4.2.0.GA を置き換えるものとして提供されます。これはいくつかのセキュリティ問題を修正します：

JFreeChart コンポーネントは、複数のクロスサイトスクリプティング（XSS）の脆弱性に対して脆弱でした。攻撃者が画像マップ機能を悪用し、チャートエリアのいくつかの属性により、任意の Web スクリプトまたは HTML を注入する可能性があります。(CVE-2007-6306)

静的 Java メソッドを漏洩することにより生じる脆弱性が、HSQLDB コンポーネントにあります。これが攻撃者に利用されて、任意の静的 Java メソッドが実行される可能性があります。(CVE-2007-4575)

org.jboss.seam.framework.Query クラスの setOrder メソッドが、ユーザー指定のパラメーターを適切に検証しませんでした。この脆弱性により、リモートの攻撃者が、オーダーのパラメーターを介して任意の Enterprise JavaBeans Query Language（EJB QL）コマンドを注入し、実行することが可能です。
(CVE-2007-6433)

これらの更新済みパッケージには、ここでは一覧されていないバグ修正や拡張機能が含まれています。完全なリストについては、JBEAP 4.2.0CP02 リリースノートを参照してください：
http://redhat.com/docs/manuals/jboss/jboss-eap-4.2.0.cp02/readme.html

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 4 上で JBEAP の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を解決することが推奨されます。

リモートの VMware ESX / ESXi ホストにセキュリティ関連のパッチがありません。
したがって、次のコンポーネントで、リモートコードの実行の脆弱性などの複数の脆弱性による影響を受けます：

- Apache Geronimo
 - Apache Tomcat
 - Apache Xerces2
 - cURL/libcURL
 - ISC BIND
 - Libxml2
 - Linux カーネル
 - Linux カーネル 64 ビット
 - Linux カーネル Common Internet File System
 - Linux カーネル eCryptfs
 - NTP
 - Python
 - Java Runtime Environment（JRE）
 - Java SE 開発キット（JDK）
 - Java SE Abstract Window Toolkit（AWT）
 - Java SE Plugin
 - Java SE Provider
 - Java SE Swing
 - Java SE Web Start

ID	名前	製品	ファミリー	公開日	更新日	深刻度
47577	Apache Tomcat < 6.0.16 の複数の脆弱性	Nessus	Web Servers	2010/7/1	2024/5/6	medium
63851	RHEL 5：JBoss EAP（RHSA-2008:0213）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63848	RHEL 4：JBoss EAP（RHSA-2008:0151）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
89117	VMware ESX / ESXi の複数の脆弱性（VMSA-2009-0016）（remote check）	Nessus	Misc.	2016/3/3	2021/1/6	critical

検出

プラグインの検索

medium

high

high

critical