リモート Redhat Enterprise Linux 6 ホストに、RHSA-2013:0834 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

    このリリースは JBoss Enterprise Application Platform 6.0.1 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく https://access.redhat.com/site/documentation/ からアクセスできる 6.1.0 リリースノートを参照してください。

    セキュリティ修正:

    XML 暗号化後方互換性の攻撃が、Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、CVE-2011-1096や CVE-2011-2487 などの欠陥が現れ、暗号システムやや対称鍵から平文を復旧させることが可能です。(CVE-2012-5575)

    注：CVE-2012-5575 を防ぐ自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用されたときだけ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

    JBoss Web で実行されているアプリケーションがクッキーセッション追跡メソッドを使用すると、セッションの最初のリクエストを処理する際に、org.apache.catalina.connector.Response.encodeURL() メソッドがクエリ文字列パラメーターとして追加された jsessionid のある URL を返しました。ユーザーの jsessionid を取得し、セッションをハイジャックするために中間者攻撃を実行することにより、あるいはログファイルから jsessionid を抽出することにより、攻撃者がこの欠陥を悪用することが可能です。セッション追跡メソッドはデフォルトでは使用されませんので注意してください。構成の必要があります。(CVE-2012-4529)

    複数のアプリケーションが同じカスタム承認モジュールクラス名を使用し、固有の実装を提供した場合、ロードする最初のアプリケーションの実装が、同じカスタム承認モジュールクラス名を使用するすべての他のアプリケーションで使用されました。ローカルの攻撃者がこの欠陥を悪用して、カスタム承認モジュールの実装を提供する悪意あるアプリケーションを展開することが可能です。このアプリケーションは、攻撃者が規定するルールにしたがってユーザーアクセスを許可または却下します。(CVE-2012-4572)

    Red Hat は、CVE-2012-5575をレポートしてくれたルール大学ボーフムの Tibor Jager、Kenneth G. Paterson、Juraj Somorovsky に感謝の意を表します。
    CVE-2012-4572 は、Red Hat JBoss EAP 品質工学チームの Josef Cacek により発見されました。

    警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。
    詳細については、ソリューションセクションを参照してください。

    Red Hat Enterprise Linux 6 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 5 / 6 ホストに、RHSA-2013:0874 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Enterprise Web Platform は、JBoss Enterprise Application Platform のプロファイルを簡素化したもので、軽量でリッチな Java アプリケーションを使用する中規模のワークロードを対象としています。

    XML 暗号化後方互換性の攻撃が、Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、CVE-2011-1096 や CVE-2011-2487 などの欠陥が現れ、暗号システムや対称鍵から平文を復旧させることが可能です。この問題は、JBoss Web Services CXF (jbossws-cxf) および JBoss Web Services Native (jbossws-native) の両方のスタックに影響を与えていました。(CVE-2012-5575)

    Red Hat は、この問題を報告してくれたルール大学ボーフムの Tibor Jager 氏、Kenneth G. Paterson 氏、および Juraj Somorovsky 氏に感謝の意を表します。

    jbossws-cxf を使用している場合、この欠陥を防ぐための自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用された場合にのみ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

    jbossws-native を使用している場合、この欠陥に対する修正は、「暗号化」要素での 2 つの新しい設定パラメーターにより実装されています。この要素は、クライアントとサーバーの両方の wsse 設定記述子（アプリケーションの jboss-wsse-server.xml ファイルおよび jboss-wsse-client.xml ファイルを介して、アプリケーションごとに設定される）で、「requires」の子である可能性があります。その新しい属性は、「algorithms」および「keyWrapAlgorithms」です。これらの属性には、空白スペースまたはカンマで区切られたアルゴリズム ID のリストが含まれます。それは、暗号化と秘密鍵ラッピングの両方に対して、暗号化された受信メッセージを許可します。下位互換性のために、空のリストまたは不足している属性に対して、アルゴリズムのチェックはデフォルトで行われません。

    例 (自ら設定する場合は改行を入れない):

    encryption algorithms=aes-192-gcm aes-256-gcm keyWrapAlgorithms=rsa_oaep

    これは、受信メッセージを暗号化の対象にする必要があること、そして、許可される暗号化アルゴリズムは GCM モードでの AES-192 および 256 のみであり、キーラッピングは RSA-OAEP のみであることを指定しています。

    復号化を行う前に、jbossws-native スタックは、これらの新しい暗号化要素属性から許可されたアルゴリズムリストに、受信メッセージで指定されたそれぞれのアルゴリズムが含まれていることを検証します。「algorithms」および「keyWrapAlgorithms」に使用されるアルゴリズムの値は、「encrypt」要素での「algorithm」および「keyWrapAlgorithm」に対するものと同じです。

    警告: この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストール内容 (すべてのアプリケーションと設定ファイル) をバックアップしてください。

    Red Hat Enterprise Linux 4、5、6 上で Red Hat JBoss Enterprise Web Platform 5.2.0 の全ユーザーは、これらの更新済みのパッケージへアップグレードすることが推奨されます。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートシステムにある JBoss Enterprise Portal Platform のバージョンは、以下の問題の影響を受けます：

- JBoss Web での CSRF 防止フィルターに欠陥があるため、リモートの攻撃者が、セッション識別子が欠落しているリクエストを介して、クロスサイトリクエスト偽造（CSRF）の保護メカニズムをバイパスする可能性があります。（CVE-2012-4431）

- COOKIE セッション追跡メソッドを使用する場合に発生する欠陥があるため、攻撃者が、ユーザーのセッションをハイジャックする可能性があります。（CVE-2012-4529）

- 複数のアプリケーションが同じカスタム承認モジュールのクラス名を使用する場合に発生する欠陥があるため、ローカルの攻撃者が、悪意あるアプリケーションを展開して、別のアプリケーションにより提供されるカスタム承認モジュールをオーバーライドする可能性があります。（CVE-2012-4572）

- フレームワークは、指定された暗号アルゴリズムが WS-SecurityPolicy AlgorithmSuite 定義により許可されていることを、復号化する前に検証していません。これにより、リモートの攻撃者が、意図したよりも脆弱な暗号アルゴリズムをシステムに使用させることで、通信をより簡単に復号化できるようになります。
 （CVE-2012-5575）

- PicketBox での欠陥により、ローカルユーザーが、Vault データファイルを読み込むことで、管理者の暗号化キーを取得する可能性があります。
 （CVE-2013-1921）

- FormAuthenticator モジュールに、セッション固定攻撃の欠陥が見つかりました。（CVE-2013-2067）

- JGroups チャネルが起動されるときに発生する欠陥があるため、デフォルトで有効な JGroups 診断サービスは、IP マルチキャストを介して、認証を行わないようになります。リモートの攻撃者が、この欠陥を利用して、診断情報を読み取る可能性があります。（CVE-2013-2102）

- StAX パーサーの実装に欠陥があるため、リモートの攻撃者が、細工された XML を介して、サービス拒否を引き起こす可能性があります。（CVE-2013-2160）

- Apache Santuario XML Security の欠陥により、コンテキスト依存の攻撃者が、CanonicalizationMethod パラメーターを使用して任意の弱いアルゴリズムを指定することで、XML 署名を偽装する可能性があります。（CVE-2013-2172）

- JGroup の DiagnosticsHandler での欠陥により、リモートの攻撃者が、有効な認証情報を再利用することで、機密情報を取得し、任意のコードを実行する可能性があります。
 （CVE-2013-4112）

- 認証された接続がリモートの名前ごとにサーバーでキャッシュされる方法に欠陥があるため、リモートの攻撃者が、リモートのクライアントを使用することで、セッションをハイジャックする可能性があります。（CVE-2013-4128）

- EJB 起動用の接続がサーバーでキャッシュされる方法に欠陥があるため、リモートの攻撃者が、EJB クライアントを使用することで、セッションをハイジャックする可能性があります。
 （CVE-2013-4213）

リモートシステムで実行されている JBoss Enterprise Application Platform 6.0.1 のバージョンは、以下の問題に脆弱です：

- JBoss Web で実行しているアプリケーションが COOKIE セッショントラッキングメソッドを使用している際に、中間者攻撃が行える可能性があります。この欠陥は、org.apache.catalina.connector.Response.encodeURL() メソッドにあります。これを利用することで、攻撃者がユーザーの jsessioned を取得し、セッションをハイジャックする可能性があります。
 (CVE-2012-4529)

- 複数のアプリケーションが同じカスタム承認モジュールクラス名を使用する場合、ローカルの攻撃者が、ユーザーアクセスを許可または拒否する悪意のあるアプリケーション承認モジュールを展開する可能性があります。(CVE-2012-4572)

- XML 暗号化の下位互換性攻撃により、攻撃者がサーバーに、安全でない従来の cryptosystem の使用を強制する可能性があります。(CVE-2012-5575)

- NULL ポインターデリファレンスの欠陥により、悪意のある OCSP が OCSP 検証を行うアプリケーションをクラッシュさせる可能性があります。
 (CVE-2013-0166)

- OpenSSL 漏洩タイミング情報の問題が存在しており、リモートの攻撃者が暗号化されたパケットから平文を取得できる可能性があります。(CVE-2013-0169)

- JBoss Enterprise Application Platform の管理者パスワードおよび Sucker パスワードは、GUI インストーラーが作成した、誰でも読み込みできる、auto-install XML ファイルに保存されています。(CVE-2013-0218)

- Tomcat は、特定の認証リクエストを不適切に処理しています。リモートの攻撃者がこの欠陥を利用して、リクエストを注入する可能性があります。このようなリクエストは、被害者の認証情報で実行されます。(CVE-2013-2067)

3 つのセキュリティの問題とさまざまなバグを修正し、拡張機能を追加する更新 JBoss Enterprise Application Platform 6.1.0 パッケージが、現時点で Red Hat Enterprise Linux 5 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.1 の代替であり、バグ修正および拡張機能を含んでいます。これらの変更の内、最も重要なものに関する情報については 6.1.0 リリースノートを参照してください。以下の URL で近日中に公開されます。https://access.redhat.com/site/documentation/

セキュリティ修正：

XML 暗号化上位互換性の攻撃が、 Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、 CVE-2011-1096 や CVE-2011-2487 などの欠陥が現れ、暗号システやムや対称鍵から平文を復旧させることが可能です。(CVE-2012-5575)

注：CVE-2012-5575 を防ぐ自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用されたときだけ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

JBoss Web で実行されているアプリケーションがクッキーセッション追跡メソッドを使用すると、セッションの最初のリクエストを処理する際に、 org.apache.catalina.connector.Response.encodeURL() メソッドがクエリ文字列パラメーターとして追加された jsessionid のある URL を返しました。ユーザーの jsessionid を取得し、セッションをハイジャックするために中間者攻撃を実行することにより、あるいはログファイルから jsessionid を抽出することにより、攻撃者がこの欠陥を悪用することが可能です。セッション追跡メソッドはデフォルトでは使用されませんので注意してください。構成の必要があります。(CVE-2012-4529)

複数のアプリケーションが同じカスタム承認モジュールクラス名を使用し、固有の実装を提供した場合、ロードする最初のアプリケーションの実装が、同じカスタム承認モジュールクラス名を使用するすべての他のアプリケーションで使用されました。ローカルの攻撃者がこの欠陥を悪用して、カスタム承認モジュールの実装を提供する悪意あるアプリケーションを展開することが可能です。このアプリケーションは、攻撃者が規定するルールにしたがってユーザーアクセスを許可または却下します。(CVE-2012-4572)

Red Hat は、CVE-2012-5575 をレポートしてくれたルール大学ボーフムの Tibor Jager、Kenneth G. Paterson、Juraj Somorovsky に感謝の意を表します。
CVE-2012-4572 は、Red Hat JBoss EAP 品質工学チームの Josef Cacek により発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

Red Hat Enterprise Linux 5 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。
この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

1 つのセキュリティの問題を修正する更新済みの JBoss Enterprise Application Platform 5.2.0 用のパッケージが、Red Hat Enterprise Linux 4、5、および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

JBoss Enterprise Application Platform は Java アプリケーション用のプラットフォームで、JBoss Hibernate および JBoss Seam と JBoss Application Server を統合します。

XML 暗号化上位互換性の攻撃が、 Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、 CVE-2011-1096 や CVE-2011-2487 などの欠陥が現れ、暗号システやムや対称鍵から平文を復旧させることが可能です。この問題は、JBoss Web Services CXF（jbossws-cxf）および JBoss Web Services Native（jbossws-native）の両方のスタックに影響を与えていました。
(CVE-2012-5575)

Red Hat は、この問題を報告してくれたルール大学ボーフムの Tibor Jager 氏、Kenneth G. Paterson 氏、および Juraj Somorovsky 氏に感謝の意を表します。

jbossws-cxf を使用している場合、この欠陥を防ぐための自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用された場合にのみ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

jbossws-native を使用している場合、この欠陥に対する修正は、「暗号化」要素での 2 つの新しい構成パラメーターにより実装されています。この要素は、クライアントとサーバーの両方の wsse 構成記述子（アプリケーションの jboss-wsse-server.xml ファイルおよび jboss-wsse-client.xml ファイルを介して、アプリケーションごとに設定される）で、「requires」の子である可能性があります。
その新しい属性は、「algorithms」および「keyWrapAlgorithms」です。これらの属性には、空白スペースまたはカンマで区切られたアルゴリズム ID のリストが含まれます。それは、暗号化と秘密鍵ラッピングの両方に対して、暗号化された受信メッセージを許可します。下位互換性のために、空のリストまたは不足している属性に対して、アルゴリズムのチェックはデフォルトで行われません。

例（自ら構成する場合は改行を入れない）：

encryption algorithms='aes-192-gcm aes-256-gcm' keyWrapAlgorithms='rsa_oaep'

これは、受信メッセージを暗号化の対象にする必要があること、そして、許可される暗号化アルゴリズムは GCM モードでの AES-192 および 256 のみであり、キーラッピングは RSA-OAEP のみであることを指定しています。

復号化を行う前に、jbossws-native スタックは、これらの新しい暗号化要素属性から許可されたアルゴリズムリストに、受信メッセージで指定されたそれぞれのアルゴリズムが含まれていることを検証します。「algorithms」および「keyWrapAlgorithms」に使用されるアルゴリズムの値は、「encrypt」要素での「algorithm」および「keyWrapAlgorithm」に対するものと同じです。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストール内容（すべてのアプリケーションと構成ファイル）をバックアップしてください。

Red Hat Enterprise Linux 4、5、6 で JBoss Enterprise Application Platform 5.2.0 を使用しているユーザーはすべて、これらの更新済みパッケージにアップグレードすることが推奨されています。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
66522	RHEL 6 : JBoss Enterprise Application Platform 6.1.0 の更新プログラム (重要度高) (RHSA-2013:0834)	Nessus	Red Hat Local Security Checks	2013/5/21	2025/3/20	medium
210215	RHEL 5 / 6 : JBoss Enterprise Web Platform 5.2.0 (RHSA-2013:0874)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	medium
72237	JBoss Portal 6.1.0 更新（RHSA-2013:1437）	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high
66971	JBoss Enterprise Application Platform 6.1.0 更新（RHSA-2013:0833）	Nessus	Red Hat Local Security Checks	2013/6/24	2022/12/5	high
66523	RHEL 5：JBoss EAP（RHSA-2013:0839）	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66662	RHEL 4 / 5 / 6：JBoss EAP（RHSA-2013:0873）	Nessus	Red Hat Local Security Checks	2013/5/29	2021/1/14	medium

検出

プラグインの検索

medium

medium

high

high

medium

medium