rh-eclipse46-jackson-databindの更新プログラムがRed Hat Software Collectionsで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。jackson-databindパッケージは、JacksonコアストリーミングAPIの上で動作する、Jackson用の一般的なデータバインディング機能を提供します。セキュリティ修正プログラム：* jackson-databindで逆シリアル化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードの実行を行う可能性があります。この問題は、悪意を持って使用される可能性があるより多くのクラスをブラックリストに入れることによって、前の欠陥CVE-2017-7525、CVE-2017-15095を拡大します。（CVE-2017-17485）Red Hatはこの問題を報告してくれた360Guan Xing Shi Yan Shiの0c0c0fに感謝の意を表します。

自己報告のバージョン番号によると、リモートホストにインストールされているJFrog Artifactoryのバージョンは7.8.1以前です。そのため、以下の複数の脆弱性の影響を受けます。

  - jackson-databindの、2.8.10および2.9.1の前のバージョンで非直列化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードを実行する可能性があります。（CVE-2017-15095）

  -2.8.10までのFasterXML jackson-databindおよび2.9.3までの2.9.xでは、CVE-2017-7525の逆シリアル化の欠陥の修正が不完全なため、認証されていないリモートコード実行が可能です。このことは、悪意を持って細工されたJSON入力をObjectMapperのreadValueメソッドに送信し、クラスパスでSpringライブラリが利用可能な場合に無効なブラックリストをバイパスすることで、悪用される可能性があります。（CVE-2017-17485）

  - jackson-databindの2.6.7.1、2.7.9.1および2.8.9の前のバージョンで非直列化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードを実行する可能性があります。（CVE-2017-7525）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.20のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.19を置換するもの機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正と拡張機能が含まれています。セキュリティ修正プログラム：*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-7525に対する不完全な修正）（CVE-2017-15095）*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-15095に対する不完全な修正）（CVE-2017-17485）*slf4j：任意のコードが実行される可能性のあるEventDataコンストラクターの逆シリアル化の脆弱性（CVE-2018-8088）*Apache ActiveMQ Artemis：信頼できない入力値の逆シリアル化の脆弱性（CVE-2016-4978）*solr：Index ReplicationのHTTP APIによるディレクトリトラバーサル（CVE-2017-3163）* tomcat：セキュリティ制約の空の文字列URLが不適切に処理されるため、リソースが意図せず表示される脆弱性（CVE-2018-1304）*jackson-databind：c3p0ライブラリの安全ではないシリアル化が発生するCVE-2017-7525の不完全な修正（CVE-2018-7489）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2017-15095を報告してくれたLiao Xinxi氏（NSFOCUS）、CVE-2017-17485を報告してくれた360Guan Xing Shi Yan Shi の0c0c0f、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。

リモートRedhat Enterprise Linux 7ホストに、RHSA-2018:0342アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    jackson-databindパッケージは、JacksonコアストリーミングAPIの上で動作する、Jackson用の一般的なデータバインディング機能を提供します。

    セキュリティ修正プログラム: 

    * jackson-databindで非直列化の欠陥が発見されました。これにより、認証されていないユーザーが、悪意のある細工された入力をObjectMapperのreadValueメソッドに送信し、コードの実行を行う可能性があります。CVE-2017-7525

    * 攻撃者が使用して逆シリアル化を通じてコードを実行する可能性のあるクラスがさらに見つかり、 CVE-2017-7525で紹介されたブラックリストに追加されました。CVE-2017-15095、 CVE-2017-17485

    Red Hatは CVE-2017-7525 、 、 CVE-2017-15095 、を報告してくれたLiao Xinxi氏NSFOCUS、 CVE-2017-17485を報告してくれた360からの0c0c0fに感謝の意を表します。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートRedhat Enterprise Linux 7ホストに、RHSA-2018:0480アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform は、JBoss Application Server をベースにした Java アプリケーション用のプラットフォームです。

    Red Hat JBoss Enterprise Application Platform 7.1.1のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.0に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。

    セキュリティ修正プログラム:

    * artemis/hornetqUDP および JGroups 発見によるメモリ枯渇CVE-2017-12174

    * infinispanデータキャッシュに挿入された悪意のあるオブジェクトの安全でない逆シリアル化CVE-2017-15089

    * jackson-databind: 不完全なブラックリスト (CVE-2017-7525 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-15095)

    * jackson-databind: 不完全なブラックリスト (CVE-2017-15095 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-17485)

    * resteasyVary ヘッダーが CORS フィルターによって追加されず、キャッシュポイズニングが発生しますCVE-2017-7561

    * undertowクライアントがダイジェスト認証で偽の URI を使用する可能性がありますCVE-2017-12196

    * undertowAjpRequestParser で ALLOW_ENCODED_SLASH オプションが考慮されませんCVE-2018-1048

    * jackson-databind不完全なブラックリストによる安全でない逆シリアル化 CVE-2017-7525 と CVE-2017-17485の不完全な修正CVE-2018-5968

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

jboss-ec2-eap用の更新プログラムが、Red Hat Enterprise Linux 6対応のRed Hat JBoss Enterprise Application Platform 6.4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。jboss-ec2-eapパッケージは、Amazon Web Services（AWS）Elastic Compute Cloud（EC2）で実行するRed Hat JBoss Enterprise Application Platform用のスクリプトを提供します。この更新プログラムにより、Red Hat JBoss Enterprise Application Platform 6.4.19との互換性を確保するためにjboss-ec2-eapパッケージが更新されています。セキュリティ修正プログラム：*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-7525に対する不完全な修正）（CVE-2017-15095）*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-15095に対する不完全な修正）（CVE-2017-17485）*slf4j：任意のコードが実行される可能性のあるEventDataコンストラクターの逆シリアル化の脆弱性（CVE-2018-8088）*Apache ActiveMQ Artemis：信頼できない入力値の逆シリアル化の脆弱性（CVE-2016-4978）*solr：Index ReplicationのHTTP APIによるディレクトリトラバーサル（CVE-2017-3163）* tomcat：セキュリティ制約の空の文字列URLが不適切に処理されるため、リソースが意図せず表示される脆弱性（CVE-2018-1304）*jackson-databind：c3p0ライブラリの安全ではないシリアル化が発生するCVE-2017-7525の不完全な修正（CVE-2018-7489）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2017-15095を報告してくれたLiao Xinxi氏（NSFOCUS）、CVE-2017-17485を報告してくれた360Guan Xing Shi Yan Shi の0c0c0f、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。

Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.20のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.19を置換するもの機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正と拡張機能が含まれています。セキュリティ修正プログラム：*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-7525に対する不完全な修正）（CVE-2017-15095）*jackson-databind：不完全なブラックリストによる安全でない逆シリアル化（CVE-2017-15095に対する不完全な修正）（CVE-2017-17485）*slf4j：任意のコードが実行される可能性のあるEventDataコンストラクターの逆シリアル化の脆弱性（CVE-2018-8088）*Apache ActiveMQ Artemis：信頼できない入力値の逆シリアル化の脆弱性（CVE-2016-4978）*solr：Index ReplicationのHTTP APIによるディレクトリトラバーサル（CVE-2017-3163）* tomcat：セキュリティ制約の空の文字列URLが不適切に処理されるため、リソースが意図せず表示される脆弱性（CVE-2018-1304）*jackson-databind：c3p0ライブラリの安全ではないシリアル化が発生するCVE-2017-7525の不完全な修正（CVE-2018-7489）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2017-15095を報告してくれたLiao Xinxi氏（NSFOCUS）、CVE-2017-17485を報告してくれた360Guan Xing Shi Yan Shi の0c0c0f、CVE-2018-8088を報告してくれたChris McCown氏に感謝の意を表します。

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2018:1450 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform は、JBoss Application Server をベースにした Java アプリケーション用のプラットフォームです。

    Red Hat JBoss Enterprise Application Platform 6.4.20のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.19に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。

    セキュリティ修正プログラム:

    * jackson-databind: 不完全なブラックリスト (CVE-2017-7525 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-15095)

    * jackson-databind: 不完全なブラックリスト (CVE-2017-15095 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-17485)

    * slf4j: EventData コンストラクターのシリアル化解除の脆弱性により、任意のコードが実行される可能性があります (CVE-2018-8088)

    * Apache ActiveMQ Artemis: 信頼できない入力値の逆シリアル化の脆弱性 (CVE-2016-4978)

    * solr: Index Replication の HTTP API によるディレクトリトラバーサル (CVE-2017-3163)

    * tomcat: セキュリティ制約内の空の文字列 URL の誤った処理による、リソースの意図しない公開の可能性 (CVE-2018-1304)

    * jackson-databind: CVE-2017-7525 の不完全な修正により、c3p0 ライブラリによる安全でないシリアル化が可能になります (CVE-2018-7489)

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    Red Hat は、CVE-2017-15095を報告してくれた Liao Xinxi 氏 (NSFOCUS)、CVE-2017-17485を報告してくれた 360 の 0c0c0f、CVE-2018-8088を報告してくれた Chris McCown 氏に感謝の意を表します。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

JSONやその他のデータ形式を解析するために使用されるJavaライブラリであるjackson-databindが、逆シリアル化を試行する前に、ユーザーの入力を適切に検証していないことが判明しました。これにより、攻撃者は悪意を持って細工された入力を提供することで、コードを実行できました。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2018:0481 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    * eap7-jboss-ec2-eapパッケージは、Amazon Web Services（AWS）Elastic Compute Cloud（EC2）で実行するRed Hat JBoss Enterprise Application Platform用のスクリプトを提供します。

    この更新プログラムにより、Red Hat JBoss Enterprise Application Platform との互換性を確保するためにeap7-jboss-ec2-eapパッケージが更新されています。 7.1.1

    このリリースに含まれる最も重要なバグ修正と拡張機能については、「参照」セクションでリンクされている『JBoss Enterprise Application Platform 7.1リリースノート』を参照してください。

    セキュリティ修正プログラム: 

    * artemis/hornetqUDP および JGroups 発見によるメモリ枯渇CVE-2017-12174

    * infinispanデータキャッシュに挿入された悪意のあるオブジェクトの安全でない逆シリアル化CVE-2017-15089

    * jackson-databind: 不完全なブラックリスト (CVE-2017-7525 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-15095)

    * jackson-databind: 不完全なブラックリスト (CVE-2017-15095 に対する不完全な修正) による安全でない逆シリアル化 (CVE-2017-17485)

    * resteasyVary ヘッダーが CORS フィルターによって追加されず、キャッシュポイズニングが発生しますCVE-2017-7561

    * undertowクライアントがダイジェスト認証で偽の URI を使用する可能性がありますCVE-2017-12196

    * undertowAjpRequestParser で ALLOW_ENCODED_SLASH オプションが考慮されませんCVE-2018-1048

    * jackson-databind不完全なブラックリストによる安全でない逆シリアル化 CVE-2017-7525 と CVE-2017-17485の不完全な修正CVE-2018-5968

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Red Hat Enterprise Linux 6のRed Hat JBoss Enterprise Application Platform 7.1で更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.1.1のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.0に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。セキュリティ修正プログラム：* artemis/hornetq：UDP検出とJGroups検出によるメモリ枯渇（CVE-2017-12174）* infinispan：データキャッシュに挿入された悪意のあるオブジェクトの安全でない逆シリアル化（CVE-2017-15089）* jackson-databind：不完全なブラックリスト（CVE-2017-7525に対する不完全な修正）による安全でない逆シリアル化（CVE-2017-15095）* jackson-databind：不完全なブラックリスト（CVE-2017-15095に対する不完全な修正）による安全でない逆シリアル化（CVE-2017-17485）* resteasy：CORSフィルターがVaryヘッダを追加せず、キャッシュポイズニングが発生（CVE-2017-7561）* undertow：クライアントはダイジェスト認証で偽のURIを使用する可能性があります（CVE-2017-12196）* undertow：AjpRequestParserでALLOW_ENCODED_SLASHオプションが考慮されません（CVE-2018-1048）* jackson-databind：不完全なブラックリスト（CVE-2017-7525およびCVE-2017-17485の不完全な修正）による安全でない逆シリアル化（CVE-2018-5968）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109427	RHEL 7：rh-eclipse46-jackson-databind（RHSA-2018:0116）	Nessus	Red Hat Local Security Checks	2018/4/30	2024/11/5	critical
147718	JFrog < 7.8.1の複数の脆弱性	Nessus	Misc.	2021/3/12	2024/1/9	critical
109905	RHEL 7：JBoss EAP（RHSA-2018：1448）	Nessus	Red Hat Local Security Checks	2018/5/18	2025/3/20	critical
109428	RHEL 7 : rh-maven35-jackson-databind (RHSA-2018:0342)	Nessus	Red Hat Local Security Checks	2018/4/30	2025/4/29	critical
108324	RHEL 7RHEL 7 用の JBoss Enterprise Application Platform 7.1.1 重要度高RHSA-2018:0480	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical
109838	RHEL 6：eap6-jboss-ec2-eap（RHSA-2018:1451）	Nessus	Red Hat Local Security Checks	2018/5/16	2025/4/29	critical
109906	RHEL 6：JBoss EAP（RHSA-2018：1449）	Nessus	Red Hat Local Security Checks	2018/5/18	2025/4/29	critical
233045	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.4.20 (RHSA-2018:1450)	Nessus	Red Hat Local Security Checks	2025/3/20	2025/3/20	critical
106853	DebianDSA-4114-1：jackson-databind - セキュリティ更新	Nessus	Debian Local Security Checks	2018/2/16	2018/11/13	critical
108325	RHEL 6/7EAP 用の jboss-ec2-eap パッケージ 7.1.1 重要度高RHSA-2018:0481	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical
108323	RHEL 6：JBoss EAP（RHSA-2018:0479）	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical