自己報告バージョン番号によると、リモート Junos Space のバージョンは、13.3R1.8 より前です。このため、バンドルされたサードパーティソフトウェアコンポーネントの複数の脆弱性の影響を受けます：

- RedHat JBoss アプリケーションサーバーでの複数の脆弱性。（CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、 CVE-2011-5245、CVE-2012-0818）

- Oracle Java SE JDK での複数の脆弱性。
 （CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、 CVE-2013-2422）

- Oracle MySQL サーバーでの複数の脆弱性。
 （CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839）

- Apache HTTP Server での複数の脆弱性。
 （CVE-2013-1862、CVE-2013-1896）

- 既知のハードコードされた MySQL 認証情報。（CVE-2014-3413）

3 つのセキュリティ問題と複数のバグを修正する更新済みの JBoss Enterprise Application Platform（JBEAP）4.2 パッケージが、JBEAP 4.2.0.CP09 として Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 5 の JBEAP のリリースは、 JBEAP 4.2.0.CP08 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JMX Console 構成は、GET および POST HTTP「動詞」を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの構成を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。
(CVE-2010-0738)

CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされてる、JBEAP リリースノートの「このリリースの修正済みの問題」セクション（JBPAPP-3952）の「セキュリティ」サブセクションを参照してください。リリースノートで言及されている変更を行う前に、 Red Hat JBoss サポートまで連絡して助言を求めてください。

Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、 Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、 GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された構成が含まれた、Web Console が含まれています。(CVE-2010-1428)

RHSA-2008:0827 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題（CVE-2008-3273）を修正しています。ところが、RHSA-2009:0348 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されている Web コンテンツについての詳細を取得できます。(CVE-2010-1429)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 5 上の JBEAP 4.2 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2010:0379 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

    Red Hat Enterprise Linux 5 の JBEAP のリリースは、JBEAP 4.3.0.CP07 への置き換えとして機能します。

    これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

    このリリースでは、次のセキュリティ問題も修正されます:

    JMX Console 設定は、GET および POST HTTP 動詞を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの設定を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。(CVE-2010-0738)

    CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされている、JBEAP リリースノートの [このリリースの修正済みの問題] セクション (JBPAPP-3952) の [セキュリティ] サブセクションを参照してください。リリースノートで言及されている変更を行う前に、Red Hat JBoss サポートまで連絡して助言を求めてください。

    Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

    JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された設定が含まれた、ウェブコンソールが含まれています。(CVE-2010-1428)

    RHSA-2008:0828 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題 (CVE-2008-3273) を修正しています。ところが、RHSA-2009:0349 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されているウェブコンテンツについての詳細を取得できます。(CVE-2010-1429)

    警告: この更新を適用する前に、JBEAP server/[configuration]/ デプロイ / ディレクトリ、その他カスタマイズ済みの設定ファイルのバックアップを行ってください。

    Red Hat Enterprise Linux 5 上の JBEAP 4.3 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

3 つのセキュリティ問題と複数のバグを修正する更新済みの JBoss Enterprise Application Platform（JBEAP）4.3 パッケージが、JBEAP 4.3.0.CP08 として Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 4 の JBEAP のリリースは、 JBEAP 4.3.0.CP07 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JMX Console 構成は、GET および POST HTTP「動詞」を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの構成を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。
(CVE-2010-0738)

CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされてる、JBEAP リリースノートの「このリリースの修正済みの問題」セクション（JBPAPP-3952）の「セキュリティ」サブセクションを参照してください。リリースノートで言及されている変更を行う前に、 Red Hat JBoss サポートまで連絡して助言を求めてください。

Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、 Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、 GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された構成が含まれた、Web Console が含まれています。(CVE-2010-1428)

RHSA-2008:0826 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題（CVE-2008-3273）を修正しています。ところが、RHSA-2009:0347 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されている Web コンテンツについての詳細を取得できます。(CVE-2010-1429)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 4 上の JBEAP 4.3 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

リモートホストで実行されているバージョンの JBoss Enterprise Application Platform（EAP）により、サーバーに送信されたセッションおよびリクエストをモニターするために使用されるステータスサーブレットに、認証なしでアクセスできます。

この脆弱性（CVE-2008-3273）は、バージョン 4.2.0.CP03 および 4.3.0.CP01 で修正されましたが、その後、関連しないバグ修正によって再導入（CVE-2010-1429）されました。

3 つのセキュリティ問題と複数のバグが修正される更新済みの JBoss Enterprise Application Platform（JBEAP）4.2 パッケージが、JBEAP 4.2.0.CP09 として Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 4 の JBEAP のリリースは、 JBEAP 4.2.0.CP08 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JMX Console 構成は、GET および POST HTTP「動詞」を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの構成を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。
(CVE-2010-0738)

CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされてる、JBEAP リリースノートの「このリリースの修正済みの問題」セクション（JBPAPP-3952）の「セキュリティ」サブセクションを参照してください。リリースノートで言及されている変更を行う前に、 Red Hat JBoss サポートまで連絡して助言を求めてください。

Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、 Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、 GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された構成が含まれた、Web Console が含まれています。(CVE-2010-1428)

RHSA-2008:0825 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題（CVE-2008-3273）を修正しています。ところが、RHSA-2009:0346 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されている Web コンテンツについての詳細を取得できます。(CVE-2010-1429)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 4 上の JBEAP 4.2 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
80195	Juniper Junos Space < 13.3R1.8 の複数の脆弱性（JSA10627）	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical
63930	RHEL 5：JBoss EAP（RHSA-2010:0378）	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium
63931	RHEL 5 : JBoss Enterprise Application Platform 4.3.0.CP08 の更新 (重大度最高) (RHSA-2010:0379)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/11/4	high
63929	RHEL 4：JBoss EAP（RHSA-2010:0377）	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium
33869	JBoss Enterprise Application Platform（EAP）ステータスサーブレットリクエストのリモート情報漏洩	Nessus	CGI abuses	2008/8/13	2021/1/19	medium
63928	RHEL 4：JBoss EAP（RHSA-2010:0376）	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium

検出

プラグインの検索

critical

medium

high

medium

medium

medium