多数のセキュリティ問題と様々なバグを修正し、複数の強化を追加する更新済みの JBoss Enterprise Web Platform 5.2.0 パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

この JBoss Enterprise Web Platform 5.2.0 リリースは JBoss Enterprise Web Platform 5.1.2 の代替プラットフォームとして機能し、バグ修正と強化が含まれています。JBoss Enterprise Web Platform は JBoss Enterprise Application Platform のサブセットであるため、これらの変更に関する最も重要な情報については、JBoss Enterprise Application Platform 5.2.0 リリースノートを参照してください。リリースノートがすぐに https://access.redhat.com/knowledge/docs/ で入手できるようになります。

ブロック暗号が CBC モードで使用される際の W3C XML Encryption Standard に対する攻撃テクニックにより、リモートの攻撃者は選択型暗号化テキスト攻撃を行うことができるようになり、特定の暗号の平文全体のリカバリが引き起こされる可能性があります。（CVE-2011-1096）

JBoss Web Services は、対称鍵を配布する際（XML 暗号化のため）サイドチャネルデータを漏洩させ、リモートの攻撃者は、対称キーの平文形式全体を復元することができます。（CVE-2011-2487）

Spring フレームワークは、Expression Language（EL）表現を 2 回にわたり検証する可能性があります。これによりリモートの攻撃者はアプリケーションサーバーのコンテキストで任意のコードを実行したり、サーバーから機密情報を取得したりすることができます。この修正を適用するには、手動アクションが必要です。ソリューションセクションを参照してください。（CVE-2011-2730）

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。詳細についは、ソリューションセクションを参照してください。（CVE-2012-2379）

（Single-Sign-On バルブなどの）FormAuthenticator# authenticate() に対する呼び出しの前に request.setUserPrincipal() を呼び出す別のコンポーネントとともに、アプリケーションが FORM 認証を使用した場合、「/ j_security_check」を URL の末尾に付加することで、FORM 認証システムにおけるセキュリティ制限チェックのバイパス処理を行う可能性がありました。
（CVE-2012-3546）

JMX Console が CSRF 攻撃に対して脆弱なため、リモートの攻撃者は管理者の認証された JMX Console セッションをハイジャックすることができました。（CVE-2011-2908）

XSS の欠陥により、リモートの攻撃者は JMX Console を使用する被害者に対して XSS 攻撃を行うことができました。（CVE-2011-4575）

セキュリティコンテキストが提供されていない場合、SecurityAssociation.getCredential() は以前の認証情報を返しました。展開されているアプリケーションにもよりますが、これによりリモートの攻撃者は以前に認証されたユーザーの認証情報をハイジャックできます。（CVE-2012-3370）

特定のロールを持つユーザーに対するアクセスを制限するために行われる JMX Invoker 構成が、実際にはアクセスを制限していませんでした。これにより、有効な JMVX Invoker 認証情報を持つリモートの攻撃者は、メンバーではないロールにアクセス可能な JMX 操作を行うことができます。（CVE-2012-5478）

twiddle.sh はコマンドラインの引数として認証情報を承認していたため、ローカルのユーザーがプロセスリストから、これらを表示することができました。（CVE-2009-5066）

NonManagedConnectionFactory は、例外がスローされると、平文のユーザーおよびパスワードを記録していました。これにより、ローカルユーザーがログファイルに対する読み込み権を持っている場合、認証情報の漏洩が発生する可能性があります。（CVE-2012-0034）

JMXInvokerHAServlet および EJBInvokerHAServlet invoker サーブレットにより、いくつかのプロファイル内において、デフォルトで認証なしのアクセスができます。認証のセキュリティインターセプタの第 2 レイヤは、この欠陥の直接的な悪用を阻止していました。インターセプタが誤って構成された場合や、不注意に無効化されると、この欠陥により、JBoss サーバーを実行しているユーザーのコンテキストで任意のコードが実行されることがあります。
（CVE-2012-0874）

JGroup チャネルが開始された際に、JGroup 診断サービスが認証なしで有効化されていました。これにより、隣接ネットワーク上の攻撃者は診断情報を読み込むことができます。（CVE-2012-2377）

null パスワードが提供されると、CallerIdentityLoginModule が以前の呼び出しからパスワードを保持していました。非デフォルト構成では、リモートの攻撃者がこれを利用して、以前に認証されたユーザーのセッションをハイジャックすることがあります。（CVE-2012-3369）

Red Hat は、CVE-2011-1096 および CVE-2011-2487 を報告してくれた Ruhr-University Bochum の Juraj Somorovsky 氏、CVE-2012-2379 を報告してくれた Apache CXFプロジェクト、CVE-2011-4575 を報告してくれた、 Tyler Krapata 氏に感謝の意を表します。CVE-2012-3370 および CVE-2012-3369 は、 Red Had の Carlo de Wolf 氏、CVE-2012-5478 は Red Hat の Derek Horton 氏、CVE-2012-0874 は Red Hat の David Jorm 氏、 CVE-2012-2377 は Red Hat によって発見されました。

複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#853551）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

- depmap フラグメントをサブパッケージに配置

- 親 POM ファイルの親を追加

- 最新リリースに更新してください

- CVE-2012-2379、RHBZ#846247

- CVE-2012-2378、RHBZ#846242

- CVE-2012-3451、RHBZ#858781

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数のセキュリティ問題と多様なバグを修正し、複数の拡張機能を追加する更新済みの JBoss Enterprise Application Platform 5.2.0 パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

この JBoss Enterprise Application Platform 5.2.0 リリースは、 JBoss Enterprise Application Platform 5.1.2 の代替であり、バグ修正および拡張機能を含んでいます。これらの変更の最も重要な点についての情報は、JBoss Enterprise Application Platform 5.2.0 リリースノートを参照してください。リリースノートがすぐに https://access.redhat.com/knowledge/docs/ で入手できるようになります。

ブロック暗号が CBC モードで使用される際の W3C XML Encryption Standard に対する攻撃テクニックにより、リモートの攻撃者は選択型暗号化テキスト攻撃を行うことができるようになり、特定の暗号の平文全体のリカバリが引き起こされる可能性があります。(CVE-2011-1096)

JBoss Web Services は、対称キーを配布する際（XML 暗号化のため）サイドチャネルデータを漏洩させ、リモートの攻撃者は、対称キーの平文形式全体を復元することができます。(CVE-2011-2487)

Spring フレームワークは、Expression Language（EL）表現を 2 回にわたり検証する可能性があります。これによりリモートの攻撃者はアプリケーションサーバーのコンテキストで任意のコードを実行したり、サーバーから機密情報を取得したりすることができます。この修正を適用するには、手動アクションが必要です。ソリューションセクションを参照してください。(CVE-2011-2730)

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。詳細についは、ソリューションセクションを参照してください。(CVE-2012-2379)

FormAuthenticator#authenticate()（Single-Sign-On バルブなど）への呼び出し前に、request.setUserPrincipal() を呼び出す別のコンポーネントとともに、アプリケーションが FORM 認証を使用すると、URL の末尾に「/j_security_check」を加えることで、FORM ユーザー識別におけるセキュリティ制約チェックをバイパスすることができました。
(CVE-2012-3546)

JMX Console が CSRF 攻撃に対して脆弱なため、リモートの攻撃者は管理者の認証された JMX Console セッションをハイジャックすることができました。(CVE-2011-2908)

XSS の欠陥により、リモートの攻撃者は JMX Console を使用する被害者に対して XSS 攻撃を行うことができました。(CVE-2011-4575)

セキュリティコンテキストが提供されていない場合、SecurityAssociation.getCredential() は以前の認証情報を返しました。展開されているアプリケーションにもよりますが、これによりリモートの攻撃者は以前に認証されたユーザーの認証情報をハイジャックできます。(CVE-2012-3370)

特定のロールを持つユーザーに対するアクセスを制限するために行われる JMX Invoker 構成が、実際にはアクセスを制限していませんでした。これにより、有効な JMVX Invoker 認証情報を持つリモートの攻撃者は、メンバーではないロールにアクセス可能な JMX 操作を行うことができます。(CVE-2012-5478)

twiddle.sh はコマンドラインの引数として認証情報を承認していたため、ローカルのユーザーがプロセスリストから、これらを表示することができました。(CVE-2009-5066)

NonManagedConnectionFactory は、例外がスローされると、平文のユーザーおよびパスワードを記録していました。これにより、ローカルユーザーがログファイルに対する読み込み権を持っている場合、認証情報の漏洩が発生する可能性があります。(CVE-2012-0034)

JMXInvokerHAServlet および EJBInvokerHAServlet invoker サーブレットにより、いくつかのプロファイル内において、デフォルトで認証なしのアクセスができます。認証のセキュリティインターセプタの第 2 レイヤは、この欠陥の直接的な悪用を阻止していました。インターセプタが誤って構成された場合や、不注意に無効化されると、この欠陥により、JBoss サーバーを実行しているユーザーのコンテキストで任意のコードが実行されることがあります。
(CVE-2012-0874)

JGroup チャネルが開始された際に、JGroup 診断サービスが認証なしで有効化されていました。これにより、隣接ネットワーク上の攻撃者は診断情報を読み込むことができます。(CVE-2012-2377)

null パスワードが提供されると、CallerIdentityLoginModule が以前の呼び出しからパスワードを保持していました。非デフォルト構成では、リモートの攻撃者がこれを利用して、以前に認証されたユーザーのセッションをハイジャックすることがあります。(CVE-2012-3369)

Red Hat は、CVE-2011-1096 および CVE-2011-2487 を報告してくれた Ruhr-University Bochum の Juraj Somorovsky 氏、CVE-2012-2379 を報告してくれた Apache CXFプロジェクト、CVE-2011-4575 を報告してくれた、 Tyler Krapata 氏に感謝の意を表します。CVE-2012-3370 および CVE-2012-3369 は、 Red Had の Carlo de Wolf 氏、CVE-2012-5478 は Red Hat の Derek Horton 氏、CVE-2012-0874 は Red Hat の David Jorm 氏、 CVE-2012-2377 は Red Hat によって発見されました。

多数のセキュリティ問題と様々なバグを修正し、複数の強化を追加する更新済みの JBoss Enterprise Web Platform 5.2.0 パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

この JBoss Enterprise Web Platform 5.2.0 リリースは JBoss Enterprise Web Platform 5.1.2 の代替プラットフォームとして機能し、バグ修正と強化が含まれています。JBoss Enterprise Web Platform は JBoss Enterprise Application Platform のサブセットであるため、これらの変更に関する最も重要な情報については、JBoss Enterprise Application Platform 5.2.0 リリースノートを参照してください。リリースノートがすぐに https://access.redhat.com/knowledge/docs/ で入手できるようになります。

ブロック暗号が CBC モードで使用される際の W3C XML Encryption Standard に対する攻撃テクニックにより、リモートの攻撃者は選択型暗号化テキスト攻撃を行うことができるようになり、特定の暗号の平文全体のリカバリが引き起こされる可能性があります。（CVE-2011-1096）

JBoss Web Services は、対称鍵を配布する際（XML 暗号化のため）サイドチャネルデータを漏洩させ、リモートの攻撃者は、対称キーの平文形式全体を復元することができます。（CVE-2011-2487）

Spring フレームワークは、Expression Language（EL）表現を 2 回にわたり検証する可能性があります。これによりリモートの攻撃者はアプリケーションサーバーのコンテキストで任意のコードを実行したり、サーバーから機密情報を取得したりすることができます。この修正を適用するには、手動アクションが必要です。ソリューションセクションを参照してください。（CVE-2011-2730）

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。詳細についは、ソリューションセクションを参照してください。（CVE-2012-2379）

（Single-Sign-On バルブなどの）FormAuthenticator# authenticate() に対する呼び出しの前に request.setUserPrincipal() を呼び出す別のコンポーネントとともに、アプリケーションが FORM 認証を使用した場合、「/ j_security_check」を URL の末尾に付加することで、FORM 認証システムにおけるセキュリティ制限チェックのバイパス処理を行う可能性がありました。
（CVE-2012-3546）

JMX Console が CSRF 攻撃に対して脆弱なため、リモートの攻撃者は管理者の認証された JMX Console セッションをハイジャックすることができました。（CVE-2011-2908）

XSS の欠陥により、リモートの攻撃者は JMX Console を使用する被害者に対して XSS 攻撃を行うことができました。（CVE-2011-4575）

セキュリティコンテキストが提供されていない場合、SecurityAssociation.getCredential() は以前の認証情報を返しました。展開されているアプリケーションにもよりますが、これによりリモートの攻撃者は以前に認証されたユーザーの認証情報をハイジャックできます。（CVE-2012-3370）

特定のロールを持つユーザーに対するアクセスを制限するために行われる JMX Invoker 構成が、実際にはアクセスを制限していませんでした。これにより、有効な JMVX Invoker 認証情報を持つリモートの攻撃者は、メンバーではないロールにアクセス可能な JMX 操作を行うことができます。（CVE-2012-5478）

twiddle.sh はコマンドラインの引数として認証情報を承認していたため、ローカルのユーザーがプロセスリストから、これらを表示することができました。（CVE-2009-5066）

NonManagedConnectionFactory は、例外がスローされると、平文のユーザーおよびパスワードを記録していました。これにより、ローカルユーザーがログファイルに対する読み込み権を持っている場合、認証情報の漏洩が発生する可能性があります。（CVE-2012-0034）

JMXInvokerHAServlet および EJBInvokerHAServlet invoker サーブレットにより、いくつかのプロファイル内において、デフォルトで認証なしのアクセスができます。認証のセキュリティインターセプタの第 2 レイヤは、この欠陥の直接的な悪用を阻止していました。インターセプタが誤って構成された場合や、不注意に無効化されると、この欠陥により、JBoss サーバーを実行しているユーザーのコンテキストで任意のコードが実行されることがあります。
（CVE-2012-0874）

JGroup チャネルが開始された際に、JGroup 診断サービスが認証なしで有効化されていました。これにより、隣接ネットワーク上の攻撃者は診断情報を読み込むことができます。（CVE-2012-2377）

null パスワードが提供されると、CallerIdentityLoginModule が以前の呼び出しからパスワードを保持していました。非デフォルト構成では、リモートの攻撃者がこれを利用して、以前に認証されたユーザーのセッションをハイジャックすることがあります。（CVE-2012-3369）

Red Hat は、CVE-2011-1096 および CVE-2011-2487 を報告してくれた Ruhr-University Bochum の Juraj Somorovsky 氏、CVE-2012-2379 を報告してくれた Apache CXFプロジェクト、CVE-2011-4575 を報告してくれた、 Tyler Krapata 氏に感謝の意を表します。CVE-2012-3370 および CVE-2012-3369 は、 Red Had の Carlo de Wolf 氏、CVE-2012-5478 は Red Hat の Derek Horton 氏、CVE-2012-0874 は Red Hat の David Jorm 氏、 CVE-2012-2377 は Red Hat によって発見されました。

複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#830291）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

複数のセキュリティ問題と多様なバグを修正し、複数の拡張機能を追加する更新済みの JBoss Enterprise Application Platform 5.2.0 パッケージが、Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

この JBoss Enterprise Application Platform 5.2.0 リリースは、 JBoss Enterprise Application Platform 5.1.2 の代替であり、バグ修正および拡張機能を含んでいます。これらの変更の最も重要な点についての情報は、JBoss Enterprise Application Platform 5.2.0 リリースノートを参照してください。リリースノートがすぐに https://access.redhat.com/knowledge/docs/ で入手できるようになります。

ブロック暗号が CBC モードで使用される際の W3C XML Encryption Standard に対する攻撃テクニックにより、リモートの攻撃者は選択型暗号化テキスト攻撃を行うことができるようになり、特定の暗号の平文全体のリカバリが引き起こされる可能性があります。(CVE-2011-1096)

JBoss Web Services は、対称キーを配布する際（XML 暗号化のため）サイドチャネルデータを漏洩させ、リモートの攻撃者は、対称キーの平文形式全体を復元することができます。(CVE-2011-2487)

Spring フレームワークは、Expression Language（EL）表現を 2 回にわたり検証する可能性があります。これによりリモートの攻撃者はアプリケーションサーバーのコンテキストで任意のコードを実行したり、サーバーから機密情報を取得したりすることができます。この修正を適用するには、手動アクションが必要です。ソリューションセクションを参照してください。(CVE-2011-2730)

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。詳細についは、ソリューションセクションを参照してください。(CVE-2012-2379)

FormAuthenticator#authenticate()（Single-Sign-On バルブなど）への呼び出し前に、request.setUserPrincipal() を呼び出す別のコンポーネントとともに、アプリケーションが FORM 認証を使用すると、URL の末尾に「/j_security_check」を加えることで、FORM ユーザー識別におけるセキュリティ制約チェックをバイパスすることができました。
(CVE-2012-3546)

JMX Console が CSRF 攻撃に対して脆弱なため、リモートの攻撃者は管理者の認証された JMX Console セッションをハイジャックすることができました。(CVE-2011-2908)

XSS の欠陥により、リモートの攻撃者は JMX Console を使用する被害者に対して XSS 攻撃を行うことができました。(CVE-2011-4575)

セキュリティコンテキストが提供されていない場合、SecurityAssociation.getCredential() は以前の認証情報を返しました。展開されているアプリケーションにもよりますが、これによりリモートの攻撃者は以前に認証されたユーザーの認証情報をハイジャックできます。(CVE-2012-3370)

特定のロールを持つユーザーに対するアクセスを制限するために行われる JMX Invoker 構成が、実際にはアクセスを制限していませんでした。これにより、有効な JMVX Invoker 認証情報を持つリモートの攻撃者は、メンバーではないロールにアクセス可能な JMX 操作を行うことができます。(CVE-2012-5478)

twiddle.sh はコマンドラインの引数として認証情報を承認していたため、ローカルのユーザーがプロセスリストから、これらを表示することができました。(CVE-2009-5066)

NonManagedConnectionFactory は、例外がスローされると、平文のユーザーおよびパスワードを記録していました。これにより、ローカルユーザーがログファイルに対する読み込み権を持っている場合、認証情報の漏洩が発生する可能性があります。(CVE-2012-0034)

JMXInvokerHAServlet および EJBInvokerHAServlet invoker サーブレットにより、いくつかのプロファイル内において、デフォルトで認証なしのアクセスができます。認証のセキュリティインターセプタの第 2 レイヤは、この欠陥の直接的な悪用を阻止していました。インターセプタが誤って構成された場合や、不注意に無効化されると、この欠陥により、JBoss サーバーを実行しているユーザーのコンテキストで任意のコードが実行されることがあります。
(CVE-2012-0874)

JGroup チャネルが開始された際に、JGroup 診断サービスが認証なしで有効化されていました。これにより、隣接ネットワーク上の攻撃者は診断情報を読み込むことができます。(CVE-2012-2377)

null パスワードが提供されると、CallerIdentityLoginModule が以前の呼び出しからパスワードを保持していました。非デフォルト構成では、リモートの攻撃者がこれを利用して、以前に認証されたユーザーのセッションをハイジャックすることがあります。(CVE-2012-3369)

Red Hat は、CVE-2011-1096 および CVE-2011-2487 を報告してくれた Ruhr-University Bochum の Juraj Somorovsky 氏、CVE-2012-2379 を報告してくれた Apache CXFプロジェクト、CVE-2011-4575 を報告してくれた、 Tyler Krapata 氏に感謝の意を表します。CVE-2012-3370 および CVE-2012-3369 は、 Red Had の Carlo de Wolf 氏、CVE-2012-5478 は Red Hat の Derek Horton 氏、CVE-2012-0874 は Red Hat の David Jorm 氏、 CVE-2012-2377 は Red Hat によって発見されました。

多数のセキュリティ問題と様々なバグを修正し、複数の強化を追加する更新済みの JBoss Enterprise Web Platform 5.2.0 パッケージが、 Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

この JBoss Enterprise Web Platform 5.2.0 リリースは JBoss Enterprise Web Platform 5.1.2 の代替プラットフォームとして機能し、バグ修正と強化が含まれています。JBoss Enterprise Web Platform は JBoss Enterprise Application Platform のサブセットであるため、これらの変更に関する最も重要な情報については、JBoss Enterprise Application Platform 5.2.0 リリースノートを参照してください。リリースノートがすぐに https://access.redhat.com/knowledge/docs/ で入手できるようになります。

ブロック暗号が CBC モードで使用される際の W3C XML Encryption Standard に対する攻撃テクニックにより、リモートの攻撃者は選択型暗号化テキスト攻撃を行うことができるようになり、特定の暗号の平文全体のリカバリが引き起こされる可能性があります。（CVE-2011-1096）

JBoss Web Services は、対称鍵を配布する際（XML 暗号化のため）サイドチャネルデータを漏洩させ、リモートの攻撃者は、対称キーの平文形式全体を復元することができます。（CVE-2011-2487）

Spring フレームワークは、Expression Language（EL）表現を 2 回にわたり検証する可能性があります。これによりリモートの攻撃者はアプリケーションサーバーのコンテキストで任意のコードを実行したり、サーバーから機密情報を取得したりすることができます。この修正を適用するには、手動アクションが必要です。ソリューションセクションを参照してください。（CVE-2011-2730）

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。詳細についは、ソリューションセクションを参照してください。（CVE-2012-2379）

FormAuthenticator#authenticate()（Single-Sign-On バルブなど）への呼び出し前に、request.setUserPrincipal() を呼び出す別のコンポーネントとともに、アプリケーションが FORM 認証を使用すると、URL の末尾に「/j_security_check」を加えることで、FORM ユーザー識別におけるセキュリティ制約チェックをバイパスすることができました。
（CVE-2012-3546）

JMX Console が CSRF 攻撃に対して脆弱なため、リモートの攻撃者は管理者の認証された JMX Console セッションをハイジャックすることができました。（CVE-2011-2908）

XSS の欠陥により、リモートの攻撃者は JMX Console を使用する被害者に対して XSS 攻撃を行うことができました。（CVE-2011-4575）

セキュリティコンテキストが提供されていない場合、SecurityAssociation.getCredential() は以前の認証情報を返しました。展開されているアプリケーションにもよりますが、これによりリモートの攻撃者は以前に認証されたユーザーの認証情報をハイジャックできます。（CVE-2012-3370）

特定のロールを持つユーザーに対するアクセスを制限するために行われる JMX Invoker 構成が、実際にはアクセスを制限していませんでした。これにより、有効な JMVX Invoker 認証情報を持つリモートの攻撃者は、メンバーではないロールにアクセス可能な JMX 操作を行うことができます。（CVE-2012-5478）

twiddle.sh はコマンドラインの引数として認証情報を承認していたため、ローカルのユーザーがプロセスリストから、これらを表示することができました。（CVE-2009-5066）

NonManagedConnectionFactory は、例外がスローされると、平文のユーザーおよびパスワードを記録していました。これにより、ローカルユーザーがログファイルに対する読み込み権を持っている場合、認証情報の漏洩が発生する可能性があります。（CVE-2012-0034）

JMXInvokerHAServlet および EJBInvokerHAServlet invoker サーブレットにより、いくつかのプロファイル内において、デフォルトで認証なしのアクセスができます。認証のセキュリティインターセプタの第 2 レイヤは、この欠陥の直接的な悪用を阻止していました。インターセプタが誤って構成された場合や、不注意に無効化されると、この欠陥により、JBoss サーバーを実行しているユーザーのコンテキストで任意のコードが実行されることがあります。
（CVE-2012-0874）

JGroup チャネルが開始された際に、JGroup 診断サービスが認証なしで有効化されていました。これにより、隣接ネットワーク上の攻撃者は診断情報を読み込むことができます。（CVE-2012-2377）

null パスワードが提供されると、CallerIdentityLoginModule が以前の呼び出しからパスワードを保持していました。非デフォルト構成では、リモートの攻撃者がこれを利用して、以前に認証されたユーザーのセッションをハイジャックすることがあります。（CVE-2012-3369）

Red Hat は、CVE-2011-1096 および CVE-2011-2487 を報告してくれた Ruhr-University Bochum の Juraj Somorovsky 氏、CVE-2012-2379 を報告してくれた Apache CXFプロジェクト、CVE-2011-4575 を報告してくれた、 Tyler Krapata 氏に感謝の意を表します。CVE-2012-3370 および CVE-2012-3369 は、 Red Had の Carlo de Wolf 氏、CVE-2012-5478 は Red Hat の Derek Horton 氏、CVE-2012-0874 は Red Hat の David Jorm 氏、 CVE-2012-2377 は Red Hat によって発見されました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
78945	RHEL 6 ：JBoss EWP（RHSA-2013:0195）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
64071	RHEL 5：JBoss EAP（RHSA-2012:1591）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
62454	Fedora 18：cxf-2.4.9-2.fc18（2012-15293）	Nessus	Fedora Local Security Checks	2012/10/9	2021/1/11	critical
64079	RHEL 5：JBoss EAP（RHSA-2013:0192）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
62502	Fedora 17：cxf-2.4.9-2.fc17（2012-15329）	Nessus	Fedora Local Security Checks	2012/10/12	2021/1/11	critical
78946	RHEL 5 ：JBoss EWP（RHSA-2013:0196）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
64072	RHEL 6：JBoss EAP（RHSA-2012:1592）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64080	RHEL 4：JBoss EAP（RHSA-2013:0193）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	medium
78947	RHEL 4 ：JBoss EWP（RHSA-2013:0197）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium

検出

プラグインの検索

medium

critical

critical

critical

critical

medium

critical

medium

medium