リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:0245 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Apache ActiveMQは、異種システム間でプロセスを接続するためのSOAインフラストラクチャを提供します。

    Apache CamelによるFILE_NAMEヘッダーの解析に欠陥が見つかりました。
    提供されたメッセージをファイルに書き込むCamelルートにメッセージを送信できるリモートの攻撃者が、FILE_NAMEヘッダーにExpression Language（EL）式を提供し、これがサーバーで計算される可能性があります。これは、Camel サーバープロセスのコンテキストで任意のリモートコードの実行につながる可能性があります。 （CVE-2013-4330）

    Apache Camel XSLTコンポーネントにより、XSLスタイルシートから外部のJavaメソッドを呼び出せることがわかりました。Camelルートにメッセージを送信できるリモートの攻撃者がこの欠陥を利用して、Camelサーバープロセスのコンテキストで任意のリモートコードを実行する可能性があります。 （CVE-2014-0003）

    JAXB unmarshallerを使用しているとき、Spring OXMラッパーは、エンティティ解決を無効にするプロパティを明らかにしないことが発見されました。リモートの攻撃者がこの欠陥を利用して、WebサイトでXML外部エンティティ（XXE）攻撃を行い、アプリケーションサーバーを実行しているユーザーのコンテキストでファイルを読み取る可能性があります。この欠陥に対するパッチは、外部エンティティの処理をデフォルトで無効にし、それを再度有効にするための構成ディレクティブを提供します。 （CVE-2013-4152）

    ネイティブライブラリが JAR ファイルにバンドルされており、カスタムのライブラリパスが指定されていないとき、HawtJNI Library クラスはネイティブライブラリを/tmp/の中の予測可能なファイル名に書き込みます。HawtJNI がネイティブライブラリの書き込みを行ってから実行するまでの間に、ローカルの攻撃者が、悪意のあるバージョンで、これらのネイティブライブラリを上書きする可能性があります。(CVE-2013-2035)

    CVE-2013-2035の問題は、Red Hat製品セキュリティチームのFlorian Weimer氏により発見され、CVE-2014-0003の問題は、Red HatセキュリティレスポンスチームのDavid Jorm氏により発見されました。

    Red Hat OpenShift Enterprise 2.0のすべてのユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRed Hat Enterprise Linux CoreOS 1ホストには、 RHSA-2014:0254 アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - HawtJNI:予測可能な一時ファイル名でローカルの任意のコード実行(CVE-2013-2035)

  - フレームワーク:XML外部エンティティ(XXE)インジェクション欠陥(CVE-2013-4152)

  - Camel:ヘッダーフィールド操作(CVE-2013-4330)によるリモートコード実行

  - Camel:XSL(CVE-2014-0003)によるリモートコード実行

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRed Hat Enterprise Linux CoreOS 2ホストには、 RHSA-2014:0245 アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - HawtJNI:予測可能な一時ファイル名でローカルの任意のコード実行(CVE-2013-2035)

  - フレームワーク:XML外部エンティティ(XXE)インジェクション欠陥(CVE-2013-4152)

  - Camel:ヘッダーフィールド操作(CVE-2013-4330)によるリモートコード実行

  - Camel:XSL(CVE-2014-0003)によるリモートコード実行

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

複数のセキュリティの問題を修正する更新済みのactivemqパッケージが、Red Hat OpenShift Enterprise 1.2.7で利用可能になりました。Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Apache ActiveMQは、異種システム間でプロセスを接続するためのSOAインフラストラクチャを提供します。Apache CamelによるFILE_NAMEヘッダーの解析に欠陥が見つかりました。提供されたメッセージをファイルに書き込むCamelルートにメッセージを送信できるリモートの攻撃者が、FILE_NAMEヘッダーにExpression Language（EL）式を提供し、これがサーバーで計算される可能性があります。これにより、Camelサーバープロセスのコンテキストで任意のコードがリモートで実行される可能性があります。（CVE-2013-4330）Apache Camel XSLTコンポーネントにより、XSLスタイルシートから外部のJavaメソッドを呼び出せることがわかりました。Camelルートにメッセージを送信できるリモートの攻撃者が、この欠陥を悪用してCamelサーバープロセスのコンテキストで任意のコードをリモートで実行する可能性があります。（CVE-2014-0003）JAXB unmarshallerを使用しているとき、Spring OXMラッパーは、エンティティ解決を無効にするプロパティを明らかにしないことが発見されました。リモートの攻撃者がこの欠陥を悪用し、Webサイトに対してXML外部エンティティ（XXE）攻撃を仕掛け、アプリケーションサーバーを実行しているユーザーのコンテキストでファイルを読み取る可能性があります。この欠陥に対するパッチは、外部エンティティの処理をデフォルトで無効にし、これを再度有効にする構成ディレクティブを提供します。（CVE-2013-4152）ネイティブライブラリがJARファイルにバンドルされており、カスタムのライブラリパスが指定されていないとき、HawtJNI Libraryクラスはネイティブライブラリを/tmp/の中の予測可能なファイル名に書き込みます。HawtJNIがネイティブライブラリの書き込みを行ってから実行するまでの間に、ローカルの攻撃者が、悪意のあるバージョンで、これらのネイティブライブラリを上書きする可能性があります。（CVE-2013-2035）CVE-2013-2035の問題は、Red Hat製品セキュリティチームのFlorian Weimer氏により発見され、CVE-2014-0003の問題は、Red HatセキュリティレスポンスチームのDavid Jorm氏により発見されました。Red Hat OpenShift Enterprise 1.2.7のすべてのユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119346	RHEL 6：activemq（RHSA-2014:0245）	Nessus	Red Hat Local Security Checks	2018/12/4	2025/4/15	high
311976	RHCOS 1:activeMQ(RHSA-2014:0254)	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/4	high
311947	RHCOS 2 : activemq(RHSA-2014:0245)	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/4	high
119347	RHEL 6：activemq（RHSA-2014:0254）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/7/17	high

検出

プラグインの検索

high

high

high

high