リモート Redhat Enterprise Linux 7 ホストに、RHSA-2024:5856 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.1.7のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.6に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.1.7 リリースノート』を参照してください。

    セキュリティ修正プログラム:

    * undertow: EAP: フィールド名が RFC7230 に沿って解析されない [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils: apache-commons-beanutils: デフォルトで PropertyUtilsBean 内のクラスプロパティを抑制しない [eap-7.1.z] (CVE-2019-10086)

    * log4j: アプリケーションが JMSSink を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind: デフォルトの入力ミス処理により、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-14379)

    * undertow: HTTP/2: HEADERS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9514)

    * undertow: AJP ファイル読み取り/インクルージョンの脆弱性 [eap-7.1.z] (CVE-2020-1745)

    * undertow: HTTP/2: 大量のデータリクエストにより、サービス拒否が引き起こされる [eap-7.1.z] (CVE-2019-9511)

    * undertow: servletPath が不適切に正規化され、危険なアプリケーションマッピングが行われることによる、セキュリティバイパスの可能性 [eap-7.1.z] (CVE-2020-1757)

    * undertow: HTTPS でリッスンしている Undertow HTTP サーバーでのサービス拒否 (DoS) の可能性 [eap-7.1.z] (CVE-2019-14888)

    * log4j: チェーンソーログビューアーの安全でない逆シリアル化の欠陥 [eap-7.1.z] (CVE-2022-23307)

    * netty: HttpObjectDecoder.java が、Content-Length ヘッダーに 2 つ目の Content-Length ヘッダーを付加できる [eap-7.1.z]（CVE-2019-20445）

    * log4j: アプリケーションが JMSAppender を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2021-4104)

    * undertow: HTTP/2: SETTINGS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core: infinispan: ReflectionUtil クラスの invokeAccessibly メソッドを使用して、プライベートメソッドを呼び出すことが可能 [eap-7.1.z] (CVE-2019-10174)

    * log4j: アプリケーションが JDBCAppender を使用するように設定されているときの Log4j 1.xでの SQL インジェクション [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind: logback-core クラスを多態的な逆シリアル化からブロックできないことによる、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager: セキュリティマネージャーの認証バイパス (CVE-2019-14843)

    * HTTP/2: PING フレームを使用したフラッドにより、メモリが無制限に増加する (CVE-2019-9512)

    * netty: HTTP ヘッダーでコロンの前の空白を適切に処理しないことによる HTTP リクエストスマグリング (CVE-2019-16869)

    * jackson-databind: org.apache.log4j.receivers.db.* でのシリアル化ガジェット (CVE-2019-17531)

    * netty: HTTP リクエストスマグリング (CVE-2019-20444)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 6ホストにインストールされているパッケージは、RHSA-2020: 0159アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - jackson-databind: com.zaxxer.hikari.HikariConfigでのシリアル化ガジェット（CVE-2019-14540）

  - JBoss EAP: Vaultシステムプロパティのセキュリティ属性値が、CLIの「reload」コマンドで表示される（CVE-2019-14885）

  - undertow：HTTPSでリッスンしているUndertow HTTPサーバーでのサービス拒否（DoS）の可能性（CVE-2019-14888）

  - jackson-databind: commons-configurationパッケージのクラスでのシリアル化ガジェット（CVE-2019-14892）

  - jackson-databind: xalanパッケージのクラスでのシリアル化ガジェット（CVE-2019-14893）

  - jackson-databind: com.zaxxer.hikari.HikariDataSourceでのシリアル化ガジェット（CVE-2019-16335）

  -netty：HTTPヘッダーでコロンの前の空白を適切に処理しないことによるHTTPリクエストスマグリング（CVE-2019-16869）

  - jackson-databind: org.apache.commons.dbcp.datasources.*でのシリアル化ガジェット（CVE-2019-16942）

  - jackson-databind: com.p6spy.engine.spy.P6DataSourceでのシリアル化ガジェット（CVE-2019-16943）

  - jackson-databind: ehcacheパッケージのクラスでのシリアル化ガジェット（CVE-2019-17267）

  - jackson-databind: org.apache.log4j.receivers.db.*でのシリアル化ガジェット（CVE-2019-17531）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.0.28.SP1 より前のバージョンの Undertow HTTP サーバーで、HTTPS でリッスンする際に脆弱性が見つかりました。攻撃者は、HTTPS ポートをターゲットにしてサービス拒否DOSを実行し、SSL でサービスを利用できなくする可能性があります。CVE-2019-14888

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 0161アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - jackson-databind: com.zaxxer.hikari.HikariConfigでのシリアル化ガジェット（CVE-2019-14540）

  - JBoss EAP: Vaultシステムプロパティのセキュリティ属性値が、CLIの「reload」コマンドで表示される（CVE-2019-14885）

  - undertow：HTTPSでリッスンしているUndertow HTTPサーバーでのサービス拒否（DoS）の可能性（CVE-2019-14888）

  - jackson-databind: commons-configurationパッケージのクラスでのシリアル化ガジェット（CVE-2019-14892）

  - jackson-databind: xalanパッケージのクラスでのシリアル化ガジェット（CVE-2019-14893）

  - jackson-databind: com.zaxxer.hikari.HikariDataSourceでのシリアル化ガジェット（CVE-2019-16335）

  -netty：HTTPヘッダーでコロンの前の空白を適切に処理しないことによるHTTPリクエストスマグリング（CVE-2019-16869）

  - jackson-databind: org.apache.commons.dbcp.datasources.*でのシリアル化ガジェット（CVE-2019-16942）

  - jackson-databind: com.p6spy.engine.spy.P6DataSourceでのシリアル化ガジェット（CVE-2019-16943）

  - jackson-databind: ehcacheパッケージのクラスでのシリアル化ガジェット（CVE-2019-17267）

  - jackson-databind: org.apache.log4j.receivers.db.*でのシリアル化ガジェット（CVE-2019-17531）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 0160アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - jackson-databind: com.zaxxer.hikari.HikariConfigでのシリアル化ガジェット（CVE-2019-14540）

  - JBoss EAP: Vaultシステムプロパティのセキュリティ属性値が、CLIの「reload」コマンドで表示される（CVE-2019-14885）

  - undertow：HTTPSでリッスンしているUndertow HTTPサーバーでのサービス拒否（DoS）の可能性（CVE-2019-14888）

  - jackson-databind: commons-configurationパッケージのクラスでのシリアル化ガジェット（CVE-2019-14892）

  - jackson-databind: xalanパッケージのクラスでのシリアル化ガジェット（CVE-2019-14893）

  - jackson-databind: com.zaxxer.hikari.HikariDataSourceでのシリアル化ガジェット（CVE-2019-16335）

  -netty：HTTPヘッダーでコロンの前の空白を適切に処理しないことによるHTTPリクエストスマグリング（CVE-2019-16869）

  - jackson-databind: org.apache.commons.dbcp.datasources.*でのシリアル化ガジェット（CVE-2019-16942）

  - jackson-databind: com.p6spy.engine.spy.P6DataSourceでのシリアル化ガジェット（CVE-2019-16943）

  - jackson-databind: ehcacheパッケージのクラスでのシリアル化ガジェット（CVE-2019-17267）

  - jackson-databind: org.apache.log4j.receivers.db.*でのシリアル化ガジェット（CVE-2019-17531）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
206210	RHEL 7 : RHEL 7 上の Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	2024/8/26	2024/11/7	critical
133156	RHEL 6：RHEL 6上のRed Hat JBoss Enterprise Application Platform 7.2.6 （RHSA-2020: 0159)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical
251686	Linux Distros のパッチ未適用の脆弱性: CVE-2019-14888	Nessus	Misc.	2025/8/19	2026/11/5	high
133158	RHEL 8: RHEL 8上のRed Hat JBoss Enterprise Application Platform 7.2.6 （RHSA-2020: 0161)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical
133157	RHEL 7: RHEL 7上のRed Hat JBoss Enterprise Application Platform 7.2.6 （RHSA-2020: 0160)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical

検出

プラグインの検索

critical

critical

high

critical

critical