Java NIOクライアント/サーバーソケットフレームワークNettyに、複数の脆弱性が発見されました:

CVE-2014-0193

WebSocket08FrameDecoderにより、リモート攻撃者が、TextWebSocketFrameとそれに続くContinuationWebSocketFramesの長いストリームを介して、サービス拒否（メモリ消費）を引き起こす可能性があります。

CVE-2014-3488

SslHandlerにより、リモート攻撃者が、細工されたSSLv2Helloメッセージを通じてサービス拒否（無限ループとCPU消費）を引き起こす可能性があります。

CVE-2019-16869

Nettyにおいて、HTTPヘッダー内のコロンの前の空白が正しく処理されていないため（例:「Transfer-Encoding : チャンク行）、HTTPリクエストのスマグリングの可能性があります。

CVE-2019-20444

HttpObjectDecoder.javaにおいて、コロンが欠落したHTTPヘッダーが許容されるため、不適切な構文を含む別のヘッダーとして解釈されるか、無効な折り返しとして解釈される可能性があります。

CVE-2019-20445

HttpObjectDecoder.javaにおいて、Content-Lengthヘッダーの後ろに2つ目のContent-LengthヘッダーまたはTransfer-Encodingヘッダーが続く可能性があります。

CVE-2020-7238

Nettyにおいて、Transfer-Encodingの空白（[space]Transfer-Encoding: チャンク行）および以降のContent-Lengthヘッダーが誤って処理されるため、HTTPリクエストスマグリングの可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン3.9.0.Final-1+deb8u1で修正されました。

使用しているnetty-3.9のパッケージをアップグレードするようお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2014:1019 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    ヒープベースのバッファオーバーフローにつながる競合状態の欠陥が、mod_status httpd モジュールに見つかりました。スレッドマルチプセッシングモジュール (MPM) を使用しているサーバーで mod_status が提供するステータスページにアクセスできるリモートの攻撃者は、特別に細工されたリクエストを送信することができます。これにより、httpd 子プロセスをクラッシュさせることや、攻撃者が apache ユーザーの権限で任意のコードを実行できるようになることがあります。(CVE-2014-0226)

    httpd の mod_deflate モジュールがリクエスト本体の解凍（DEFLATE 入力フィルターから構成された）を処理していた方法で、サービス拒否の欠陥が見つかりました。どの本体を解凍するかについてのリクエストを送信できるリモートの攻撃者はこの欠陥を利用して、システムメモリや CPU をターゲットシステムで過剰に消費できます。(CVE-2014-0118)

    httpd の mod_cgid モジュールが標準入力からデータを読み込んでいなかった CGI スクリプトを実行した方法で、サービス拒否の欠陥が見つかりました。
    リモートの攻撃者は、httpd 子プロセスを無制限にハングさせることのできる特別に細工されたリクエストを送信することができます。(CVE-2014-0231)

    WebSocket08FrameDecoder 実装に欠陥が見つかりました。これにより、リモートの攻撃者は、一連の TextWebSocketFrame および ContinuationWebSocketFrames を発行することでメモリ不足 Exception をトリガーすることができます。サーバー構成によっては、サービス拒否につながることがあります。
    (CVE-2014-0193)

    SimpleSecurityManager の isCallerInRole() メソッドが呼び出し元のロールを適切にチェックしていないことが判明しました。リモートの認証されている攻撃者はこの欠陥を利用して、呼び出し元のロールに基づいてブラックリストアクセスコントロールを使用するアプリケーションで呼び出し元のチェックを回避することができます。(CVE-2014-3472)

    Red Hat は、CVE-2014-0193を報告してくれた James Roper 氏、CVE-2014-3472 を報告してくれた CA Technologies に感謝の意を表します。

    この JBoss Enterprise Application Platform のリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、「参照」でリンクされている、『Red Hat JBoss Enterprise Application Platform 6.3.0リリースノート』から、間もなく使用できます。

    Red Hat Enterprise Linux 5 上で JBoss Enterprise Application Platform 6.3.0 を必要とする全ユーザーは、これらの新しいパッケージをインストールする必要があります。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

複数のセキュリティ問題と複数のバグを修正し、多様な機能強化を追加する、更新済み Red Hat JBoss Enterprise Application Platform 6.3.0 パッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

ヒープベースのバッファオーバーフローにつながる競合状態の欠陥が、 mod_status httpd モジュールに見つかりました。スレッドマルチプセッシングモジュール（MPM）を使用しているステータスページにアクセスできるリモートの攻撃者は、特別に細工されたリクエストを送信することができます。これにより、 httpd 子プロセスをクラッシュさせることや、攻撃者が「apache」ユーザーの権限で任意のコードを実行できるようになることがあります。（CVE-2014-0226）

httpd の mod_deflate モジュールがリクエスト本文の解凍（DEFLATE 入力フィルターから構成された）を処理している方法で、サービス拒否の欠陥が見つかりました。どの本体を展開するかについてのリクエストを送信できるリモートの攻撃者はこの欠陥を利用して、システムメモリや CPU をターゲットシステムで過剰に消費できます。
（CVE-2014-0118）

httpd の mod_cgid モジュールが標準入力からデータを読み込んでいなかった CGI スクリプトを実行した方法で、サービス拒否の欠陥が見つかりました。リモートの攻撃者は、httpd 子プロセスを無制限にハングさせることのできる特別に細工されたリクエストを送信することができます。（CVE-2014-0231）

WebSocket08FrameDecoder 実装に欠陥が見つかりました。これにより、リモートの攻撃者は、一連の TextWebSocketFrame および ContinuationWebSocketFrames を発行することでメモリ不足 Exception をトリガーすることができます。サーバー構成によっては、サービス拒否につながることがあります。（CVE-2014-0193）

SimpleSecurityManager の isCallerInRole() メソッドが呼び出し元のロールを適切にチェックしていないことが判明しました。リモートの認証されている攻撃者はこの欠陥を利用して、呼び出し元のロールに基づいてブラックリストアクセスコントロールを使用するアプリケーションで呼び出し元のチェックを回避することができます。（CVE-2014-3472）

Red Hat は、CVE-2014-0193 を報告してくれた James Roper 氏、 CVE-2014-3472 を報告してくれた CA Technologies に感謝の意を表します。

この JBoss Enterprise Application Platform のリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、リファレンスでリンクされている、JBoss Enterprise Application Platform 6.3.0 のリリースノートから間もなく入手できます。

Red Hat Enterprise Linux 6 上で JBoss Enterprise Application Platform 6.3.0 を必要とする全ユーザーは、これらの新しいパッケージをインストールする必要があります。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
133814	Debian DLA-2110-1 : netty-3.9セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/2/20	2024/3/27	critical
77078	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.3.0 の更新プログラム (重要度高) (RHSA-2014:1019)	Nessus	Red Hat Local Security Checks	2014/8/8	2025/3/20	medium
77079	RHEL 6：JBoss EAP（RHSA-2014:1020）	Nessus	Red Hat Local Security Checks	2014/8/8	2025/3/24	medium

検出

プラグインの検索

critical

medium

medium