複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#830291）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

- depmap フラグメントをサブパッケージに配置

- 親 POM ファイルの親を追加

- 最新リリースに更新してください

- CVE-2012-2379、RHBZ#846247

- CVE-2012-2378、RHBZ#846242

- CVE-2012-3451、RHBZ#858781

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

2 つのセキュリティ問題を修正する JBoss Enterprise Application Platform 5.2.0 の更新済み apache-cxf パッケージが、Red Hat Enterprise Linux 4、5、6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は Java アプリケーション用のプラットフォームで、JBoss Hibernate および JBoss Seam と JBoss Application Server を統合します。

Web サービスが、WS-Security 処理を適用するために WSS4JInInterceptor が有効な Apache CXF を使用して展開された場合、こうしたサービスに対する HTTP GET リクエストが、認証チェックを適用することなく常にアクセス権を付与されていました。URIMappingInterceptor は、シンプルな SOAP サービスに対して REST のようなアクセスを許可する、従来型のメカニズムです。リモートの攻撃者はこの欠陥を利用して、シンプルな SOAP サービスの REST のようなインターフェイスにアクセスすることができます。これにより、WSS4JInInterceptor によって適用されたセキュリティ制約をバイパスします。WSS4JInInterceptor が WS-Security プロセスを適用するために使用される場合にのみ、この欠陥は悪用できます。セキュリティを適用するための WS-SecurityPolicy を使用するサービスは影響を受けません。(CVE-2012-5633)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。Web サービスが各サービスオペレーションに一意の SOAPAction を使用する Apache CXF を介して露出されている場合、リモートの攻撃者が、同じパラメーターを許可された操作として受け入れたときに禁止されている操作を呼び出すために、SOAPAction なりすましを実行する可能性があります。WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。
(CVE-2012-3451)

注意：CVE-2012-3451 と CVE-2012-5633 の問題の影響を受けるのは、JBoss Web Services CXF がインストールされている環境のみです。

Red Hat は、CVE-2012-3451 を報告してくれた Apache CXF プロジェクトに感謝の意を表します。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストール内容（すべてのアプリケーションと構成ファイル）をバックアップしてください。

Red Hat Enterprise Linux 4、5、6 上で JBoss Enterprise Application Platform 5.2.0 の全ユーザーは、この更新済みパッケージへアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

リモートの Redhat Enterprise Linux 5 / 6 ホストには、RHSA-2013:0259 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jbossws-cxf、apache-cxf: ドキュメントリテラル Web サービスでの SOAPAction なりすまし (CVE-2012-3451)

  - jbossws-cxf、apache-cxf: WSS4JInInterceptor 使用時の WS エンドポイントのセキュリティ制約のバイパス (CVE-2012-5633)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#853551）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
64072	RHEL 6：JBoss EAP（RHSA-2012:1592）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
62502	Fedora 17：cxf-2.4.9-2.fc17（2012-15329）	Nessus	Fedora Local Security Checks	2012/10/12	2021/1/11	critical
64628	RHEL 4 / 5 / 6：JBoss EAP（RHSA-2013:0257）	Nessus	Red Hat Local Security Checks	2013/2/14	2021/1/14	medium
62454	Fedora 18：cxf-2.4.9-2.fc18（2012-15293）	Nessus	Fedora Local Security Checks	2012/10/9	2021/1/11	critical
193677	RHEL 5 / 6 : JBoss Enterprise Web Platform 5.2.0 (RHSA-2013:0259)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/4/21	medium
64071	RHEL 5：JBoss EAP（RHSA-2012:1591）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical

検出

プラグインの検索

critical

critical

medium

critical

medium

critical