3 つのセキュリティの問題とさまざまなバグを修正し、拡張機能を追加する更新 JBoss Enterprise Application Platform 6.1.0 パッケージが、現時点で Red Hat Enterprise Linux 6 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.1 の代替であり、バグ修正および拡張機能を含んでいます。これらの変更の内、最も重要なものに関する情報については 6.1.0 リリースノートを参照してください。以下の URL で近日中に公開されます。https://access.redhat.com/site/documentation/

セキュリティ修正：

XML 暗号化上位互換性の攻撃が、 Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、 CVE-2011-1096 や CVE-2011-2487 などの欠陥が現れ、暗号システやムや対称鍵から平文を復旧させることが可能です。(CVE-2012-5575)

注：CVE-2012-5575 を防ぐ自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用されたときだけ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

JBoss Web で実行されているアプリケーションがクッキーセッション追跡メソッドを使用すると、セッションの最初のリクエストを処理する際に、 org.apache.catalina.connector.Response.encodeURL() メソッドがクエリ文字列パラメーターとして追加された jsessionid のある URL を返しました。ユーザーの jsessionid を取得し、セッションをハイジャックするために中間者攻撃を実行することにより、あるいはログファイルから jsessionid を抽出することにより、攻撃者がこの欠陥を悪用することが可能です。セッション追跡メソッドはデフォルトでは使用されませんので注意してください。構成の必要があります。(CVE-2012-4529)

複数のアプリケーションが同じカスタム承認モジュールクラス名を使用し、固有の実装を提供した場合、ロードする最初のアプリケーションの実装が、同じカスタム承認モジュールクラス名を使用するすべての他のアプリケーションで使用されました。ローカルの攻撃者がこの欠陥を悪用して、カスタム承認モジュールの実装を提供する悪意あるアプリケーションを展開することが可能です。このアプリケーションは、攻撃者が規定するルールにしたがってユーザーアクセスを許可または却下します。(CVE-2012-4572)

Red Hat は、CVE-2012-5575 をレポートしてくれたルール大学ボーフムの Tibor Jager、Kenneth G. Paterson、Juraj Somorovsky に感謝の意を表します。
CVE-2012-4572 は、Red Hat JBoss EAP 品質工学チームの Josef Cacek により発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

Red Hat Enterprise Linux 6 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。
この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

3 つのセキュリティの問題とさまざまなバグを修正し、拡張機能を追加する更新 JBoss Enterprise Application Platform 6.1.0 パッケージが、現時点で Red Hat Enterprise Linux 5 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.1 の代替であり、バグ修正および拡張機能を含んでいます。これらの変更の内、最も重要なものに関する情報については 6.1.0 リリースノートを参照してください。以下の URL で近日中に公開されます。https://access.redhat.com/site/documentation/

セキュリティ修正：

XML 暗号化上位互換性の攻撃が、 Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、 CVE-2011-1096 や CVE-2011-2487 などの欠陥が現れ、暗号システやムや対称鍵から平文を復旧させることが可能です。(CVE-2012-5575)

注：CVE-2012-5575 を防ぐ自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用されたときだけ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

JBoss Web で実行されているアプリケーションがクッキーセッション追跡メソッドを使用すると、セッションの最初のリクエストを処理する際に、 org.apache.catalina.connector.Response.encodeURL() メソッドがクエリ文字列パラメーターとして追加された jsessionid のある URL を返しました。ユーザーの jsessionid を取得し、セッションをハイジャックするために中間者攻撃を実行することにより、あるいはログファイルから jsessionid を抽出することにより、攻撃者がこの欠陥を悪用することが可能です。セッション追跡メソッドはデフォルトでは使用されませんので注意してください。構成の必要があります。(CVE-2012-4529)

複数のアプリケーションが同じカスタム承認モジュールクラス名を使用し、固有の実装を提供した場合、ロードする最初のアプリケーションの実装が、同じカスタム承認モジュールクラス名を使用するすべての他のアプリケーションで使用されました。ローカルの攻撃者がこの欠陥を悪用して、カスタム承認モジュールの実装を提供する悪意あるアプリケーションを展開することが可能です。このアプリケーションは、攻撃者が規定するルールにしたがってユーザーアクセスを許可または却下します。(CVE-2012-4572)

Red Hat は、CVE-2012-5575 をレポートしてくれたルール大学ボーフムの Tibor Jager、Kenneth G. Paterson、Juraj Somorovsky に感謝の意を表します。
CVE-2012-4572 は、Red Hat JBoss EAP 品質工学チームの Josef Cacek により発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

Red Hat Enterprise Linux 5 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。
この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

リモートシステムで実行されている JBoss Enterprise Application Platform 6.0.1 のバージョンは、以下の問題に脆弱です：

- JBoss Web で実行しているアプリケーションが COOKIE セッショントラッキングメソッドを使用している際に、中間者攻撃が行える可能性があります。この欠陥は、org.apache.catalina.connector.Response.encodeURL() メソッドにあります。これを利用することで、攻撃者がユーザーの jsessioned を取得し、セッションをハイジャックする可能性があります。
 (CVE-2012-4529)

- 複数のアプリケーションが同じカスタム承認モジュールクラス名を使用する場合、ローカルの攻撃者が、ユーザーアクセスを許可または拒否する悪意のあるアプリケーション承認モジュールを展開する可能性があります。(CVE-2012-4572)

- XML 暗号化の下位互換性攻撃により、攻撃者がサーバーに、安全でない従来の cryptosystem の使用を強制する可能性があります。(CVE-2012-5575)

- NULL ポインターデリファレンスの欠陥により、悪意のある OCSP が OCSP 検証を行うアプリケーションをクラッシュさせる可能性があります。
 (CVE-2013-0166)

- OpenSSL 漏洩タイミング情報の問題が存在しており、リモートの攻撃者が暗号化されたパケットから平文を取得できる可能性があります。(CVE-2013-0169)

- JBoss Enterprise Application Platform の管理者パスワードおよび Sucker パスワードは、GUI インストーラーが作成した、誰でも読み込みできる、auto-install XML ファイルに保存されています。(CVE-2013-0218)

- Tomcat は、特定の認証リクエストを不適切に処理しています。リモートの攻撃者がこの欠陥を利用して、リクエストを注入する可能性があります。このようなリクエストは、被害者の認証情報で実行されます。(CVE-2013-2067)

リモートシステムにある JBoss Enterprise Portal Platform のバージョンは、以下の問題の影響を受けます：

- JBoss Web での CSRF 防止フィルターに欠陥があるため、リモートの攻撃者が、セッション識別子が欠落しているリクエストを介して、クロスサイトリクエスト偽造（CSRF）の保護メカニズムをバイパスする可能性があります。（CVE-2012-4431）

- COOKIE セッション追跡メソッドを使用する場合に発生する欠陥があるため、攻撃者が、ユーザーのセッションをハイジャックする可能性があります。（CVE-2012-4529）

- 複数のアプリケーションが同じカスタム承認モジュールのクラス名を使用する場合に発生する欠陥があるため、ローカルの攻撃者が、悪意あるアプリケーションを展開して、別のアプリケーションにより提供されるカスタム承認モジュールをオーバーライドする可能性があります。（CVE-2012-4572）

- フレームワークは、指定された暗号アルゴリズムが WS-SecurityPolicy AlgorithmSuite 定義により許可されていることを、復号化する前に検証していません。これにより、リモートの攻撃者が、意図したよりも脆弱な暗号アルゴリズムをシステムに使用させることで、通信をより簡単に復号化できるようになります。
 （CVE-2012-5575）

- PicketBox での欠陥により、ローカルユーザーが、Vault データファイルを読み込むことで、管理者の暗号化キーを取得する可能性があります。
 （CVE-2013-1921）

- FormAuthenticator モジュールに、セッション固定攻撃の欠陥が見つかりました。（CVE-2013-2067）

- JGroups チャネルが起動されるときに発生する欠陥があるため、デフォルトで有効な JGroups 診断サービスは、IP マルチキャストを介して、認証を行わないようになります。リモートの攻撃者が、この欠陥を利用して、診断情報を読み取る可能性があります。（CVE-2013-2102）

- StAX パーサーの実装に欠陥があるため、リモートの攻撃者が、細工された XML を介して、サービス拒否を引き起こす可能性があります。（CVE-2013-2160）

- Apache Santuario XML Security の欠陥により、コンテキスト依存の攻撃者が、CanonicalizationMethod パラメーターを使用して任意の弱いアルゴリズムを指定することで、XML 署名を偽装する可能性があります。（CVE-2013-2172）

- JGroup の DiagnosticsHandler での欠陥により、リモートの攻撃者が、有効な認証情報を再利用することで、機密情報を取得し、任意のコードを実行する可能性があります。
 （CVE-2013-4112）

- 認証された接続がリモートの名前ごとにサーバーでキャッシュされる方法に欠陥があるため、リモートの攻撃者が、リモートのクライアントを使用することで、セッションをハイジャックする可能性があります。（CVE-2013-4128）

- EJB 起動用の接続がサーバーでキャッシュされる方法に欠陥があるため、リモートの攻撃者が、EJB クライアントを使用することで、セッションをハイジャックする可能性があります。
 （CVE-2013-4213）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
66522	RHEL 6：JBoss EAP（RHSA-2013:0834）	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66523	RHEL 5：JBoss EAP（RHSA-2013:0839）	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66971	JBoss Enterprise Application Platform 6.1.0 更新（RHSA-2013:0833）	Nessus	Red Hat Local Security Checks	2013/6/24	2022/12/5	high
72237	JBoss Portal 6.1.0 更新（RHSA-2013:1437）	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high

検出

プラグインの検索

medium

medium

high

high