更新プログラムが、RHEL 7のJBoss Core Servicesで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.37パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Pack Apache Server 2.4.29を置き換え、バグ修正プログラムおよび拡張機能を提供します。このリリースに含まれる最も重要なバグ修正プログラムおよび拡張機能については、リリースノートを参照してください。セキュリティ修正プログラム：* openssl：crypto/rsa/rsa_gen.cのRSAキー生成キャッシュタイミングの脆弱性により、攻撃者は秘密鍵を復元できます（CVE-2018-0737）* openssl：DSA署名アルゴリズムのタイミングサイドチャネル攻撃（CVE-2018-0734）* mod_auth_digest：競合状態によるアクセス制御のバイパス（CVE-2019-0217） * openssl：SMT/Hyper-Threadingアーキテクチャのサイドチャネル攻撃の脆弱性（PortSmash）（CVE-2018-5407）* mod_session_cookieが有効期限を考慮しない （CVE-2018-17199）* mod_http2：DoS via 遅延された不要なリクエスト本体を通じたDoS（CVE-2018-17189）* mod_http2：最新版へのアップグレードでクラッシュする可能性（CVE-2019-0197）* mod_http2：文字列比較でのメモリ解放後読み取り（CVE-2019-0196）* nghttp2：HTTP/2：大量のデータリクエストがサービス拒否を引き起こす可能性（CVE-2019-9511）* nghttp2：HTTP/2：PRIORITYフレームを使用したフラッディングによる、リソースの過剰消費（CVE-2019-9513）* mod_http2：HTTP/2：長さ0のヘッダーがサービス拒否を引き起こす（CVE-2019-9516）* mod_http2：HTTP/2：大きな応答を要求するとサービス拒否を引き起こす（CVE-2019-9517）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

インストールされているopenssl110fパッケージのバージョンによると、リモートホストにインストールされているEulerOSは次の脆弱性の影響を受けます。- OpenSSL DSA署名アルゴリズムは、タイミングサイドチャンネル攻撃に対して脆弱であることがわかっています。攻撃者が署名アルゴリズムの変動を悪用し、秘密鍵を復元する可能性があります。OpenSSL 1.1.1aで修正されました（1.1.1が影響を受けます）。OpenSSL 1.1.0jで修正されました（1.1.0～1.1.0iが影響を受けます）。OpenSSL 1.0.2qで修正されました（1.0.2～1.0.2pが影響を受けます）。（CVE-2018-0734）- プロセッサの同時マルチスレッド（SMT）では、ローカルユーザーが「ポート競合」のサイドチャンネルタイミング攻撃を仕掛けて、タイミング攻撃に脆弱なソフトウェアを悪用する可能性があります。（CVE-2018-5407）- 通常、OpenSSL ECグループには常にコファクターが存在し、これはサイドチャンネル耐性コードパスで使用されます。ただし、（名前付き曲線を使用する代わりに）明示的なパラメーターを使用してグループを作成できる場合があります。その場合、このようなグループにはコファクターが存在しない可能性があります。これは、すべてのパラメーターが既知の名前付き曲線と一致する場合でも発生する可能性があります。このような曲線が使用される場合、OpenSSLは、サイドチャンネル以外の耐性コードパスにフォールバックすることで、ECDSA署名操作中に完全にキーを回復する可能性があります。脆弱であるには、libcryptoを使用するアプリケーションでコファクターが存在しない明示的なパラメーターを使用して大量の署名が作成されているときの作成時間を攻撃者が知ることができる必要があります。ただし、libsslでは、明示的なパラメーターが使用されないため脆弱ではありません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。OpenSSL 1.1.0lで修正されました（1.1.0～1.1.0kが影響を受けます）。OpenSSL 1.0.2tで修正されました（1.0.2～1.0.2sが影響を受けます）。（CVE-2019-1547）- 攻撃者が復号化の成功または失敗の自動通知を受け取るとき、復号化する大量のメッセージが送信されると、攻撃者がBleichenbacherパディングオラクル攻撃を仕掛けて、CMS/PKCS7で転送された暗号化キーを復元したり、公開RSAキーで暗号化されたRSA暗号化メッセージを復号化したりする可能性があります。証明書とともにCMS_decrypt関数またはPKCS7_decrypt関数へのプライベートRSAキーを使用して、復号化する正しい受信者情報を選択する場合、アプリケーションは影響を受けません。OpenSSL 1.1.1dで修正されました（1.1.1～1.1.1cが影響を受けます）。OpenSSL 1.1.0hで修正されました（1.1.0～1.1.0kが影響を受けます）。OpenSSL 1.0.2tで修正されました（1.0.2～1.0.2sが影響を受けます）。（CVE-2019-1563）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

更新されたRed Hat JBoss Web Server 5.2.0パッケージが、Red Hat Enterprise Linux 6、Red Hat Enterprise Linux 7、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Web Serverは、Java Webアプリケーションをホスティングするための完全に統合され認定されたコンポーネントのセットです。Apache Tomcat Servletコンテナ、JBoss HTTP Connector（mod_cluster）、Apache TomcatのPicketLink Vault拡張機能、Tomcat Nativeライブラリで構成されています。Red Hat JBoss Web Server 5.2のこのリリースは Red Hat JBoss Web Server 5.1に置き換わるもので、バグ修正、機能強化、コンポーネントのアップグレードが含まれています。バグ修正や機能強化の内容は、「参照」でリンクされているリリースノートに記載されています。セキュリティ修正プログラム：openssl：SMT/Hyper-Threadingアーキテクチャのサイドチャネル攻撃の脆弱性（PortSmash）（CVE-2018-5407）* openssl：0バイトレコードパディングオラクル（CVE-2019-1559）* tomcat：書き込み時のHTTP/2接続ウィンドウの枯渇、CVE-2019-0199の不完全な修正（CVE-2019-10072）* tomcat：SSI printenvのXSS（CVE-2019-0221）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

このnodejs4の更新では、以下の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-0734：DSA署名生成におけるタイミングの脆弱性が修正されました（bsc#1113652）。

  - CVE-2018-5407：ハイパースレッドポートコンテンツサイドチャネル攻撃（別名「PortSmash」）を修正しました（bsc#1113534）

  - CVE-2018-12120：デフォルトでデバッガーがどのインターフェイスでもリッスンするよう修正しました（bsc#1117625）

  - CVE-2018-12121：大きなHTTPヘッダーによるサービス拒否を修正しました（bsc#1117626）

  - CVE-2018-12122：Slowloris HTTPのサービス拒否を修正しました（bsc#1117627）

  - CVE-2018-12116：HTTPリクエストの分割を修正しました（bsc#1117630）

  - CVE-2018-12123：JavaScriptプロトコルのURLパーサーにおけるホスト名のなりすましを修正しました（bsc#1117629）

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
131216	RHEL 7：JBoss Core Services（RHSA-2019:3933）（0-Length Headers Leak）（Data Dribble）（Internal Data Buffering）（Resource Loop）	Nessus	Red Hat Local Security Checks	2019/11/22	2024/11/7	high
131584	EulerOS 2.0 SP2：openssl110f（EulerOS-SA-2019-2430）	Nessus	Huawei Local Security Checks	2019/12/4	2022/5/18	medium
131214	RHEL 6/7/8：JBoss Web Server（RHSA-2019:3929）	Nessus	Red Hat Local Security Checks	2019/11/22	2025/2/21	high
121415	openSUSEセキュリティ更新プログラム：nodejs4（openSUSE-2019-88）	Nessus	SuSE Local Security Checks	2019/1/28	2024/6/25	high

検出

プラグインの検索

high

medium

high

high