An update for Red Hat JBoss Web Server 2.1.0 that fixes two security issues is now available for Red Hat Enterprise Linux 5, 6, and 7.

Red Hat Product Security has rated this update as having Important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat JBoss Web Server is a fully integrated and certified set of components for hosting Java web applications. It is comprised of the Apache HTTP Server, the Apache Tomcat Servlet container, Apache Tomcat Connector (mod_jk), JBoss HTTP Connector (mod_cluster), Hibernate, and the Tomcat Native library.

A flaw was found in the way the mod_cluster manager processed certain MCMP messages. An attacker with access to the network from which MCMP messages are allowed to be sent could use this flaw to execute arbitrary JavaScript code in the mod_cluster manager web interface.
(CVE-2015-0298)

It was discovered that a JkUnmount rule for a subtree of a previous JkMount rule could be ignored. This could allow a remote attacker to potentially access a private artifact in a tree that would otherwise not be accessible to them. (CVE-2014-8111)

All users of Red Hat JBoss Web Server 2.1.0 are advised to apply this update. The Red Hat JBoss Web Server process must be restarted for the update to take effect.

2 件のセキュリティ問題を修正する Red Hat JBoss Web Server 2.1.0 の更新が、Red Hat Enterprise Linux 5、6、および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

mod_cluster マネージャーが特定の MCMP メッセージを処理する方法で欠陥が見つかりました。MCMP メッセージの発信が許可されたネットワークへアクセスできる攻撃者がこの欠陥を利用して、mod_cluster マネージャー Web インターフェイスで任意の　JavaScript コードを実行する可能性があります。
(CVE-2015-0298)

以前の JkMount ルールのサブツリーに対する JkUnmount ルールが無視される可能性があることが判明しました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。(CVE-2014-8111)

Red Hat JBoss Web Server 2.1.0 の全ユーザーは、この更新を適用することが推奨されます。この更新を有効にするには、Red Hat JBoss Web Server プロセスを再起動する必要があります。

Red Hat JBoss Web Server 2.1.0 的更新程序修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5、6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat JBoss Web Server 是一组用于托管 Java Web 应用程序的完全集成且经过认证的组件。它由 Apache HTTP Server、Apache Tomcat Servlet 容器、Apache Tomcat Connector (mod_jk)、JBoss HTTP Connector (mod_cluster)、Hibernate 和 Tomcat Native 库组成。

在 mod_cluster 管理器处理某些 MCMP 消息的方式中发现一个缺陷。有权访问允许从中发送 MCMP 消息的网络的攻击者可利用此缺陷在 mod_cluster 管理器 Web 界面中执行任意 JavaScript 代码。
(CVE-2015-0298)

已发现之前 JkMount 规则子树的 JkUnmount 规则可被忽略。远程攻击者可利用此漏洞访问某树中其不具备访问权限的隐私构件。(CVE-2014-8111)

建议 Red Hat JBoss Web Server 2.1.0 的所有用户应用此更新。必须重新启动 Red Hat JBoss Web Server 进程以使更新生效。

現已提供適用於 Red Hat Enterprise Linux 7 的更新版套件，內含 Red Hat JBoss Enterprise Application Platform 6.4.0，並修正多個安全性問題、數個錯誤以及新增數項增強功能。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。據發現，在 XML 加密 (CVE-2011-2487) 上發現 Bleichenbacher 之攻擊的 Apache WSS4J 中有之前的對策，其擲出例外狀況可允許攻擊者判斷嘗試的攻擊是否失敗，進而使得 WSS4J 容易受到攻擊。原本的缺陷會允許遠端攻擊者完整復原純文字對稱式金鑰。(CVE-2015-0226) 在 PicketLink 的服務提供者和身份提供者處理某些要求的方式中，發現缺陷。遠端攻擊者可能會利用此缺陷，透過 PicketLink 登入受害者的帳戶。(CVE-2015-0277) 據發現，舊版 JkMount 規則的樹狀子目錄 JkUnmount 規則可能會遭到忽略。這可能讓遠端攻擊者從樹狀結構存取他們本來無法存取的私密成品。(CVE-2014-8111) 據發現，Apache WSS4J 會允許透過 XML 簽章封裝攻擊，繞過 requireSignedEncryptedDataElements 組態屬性。遠端攻擊者可能會利用此缺陷，修改已簽署之要求的內容。(CVE-2015-0227) 據發現，Red Hat Enterprise Application Platform 提供的命令列介面會在使用者的主目錄中，以不安全的預設檔案權限，建立名稱為 .jboss-cli-history 的歷程記錄檔。這可能會讓惡意的本機使用者取得他們本來無法存取的資訊。(CVE-2014-3586) CVE-2015-0277 問題是由 Red Hat 的 Ondrej Kotek 所發現的。此 JBoss Enterprise Application Platform 版本也包含錯誤修正及增強功能。這些變更的相關文件近期將可從〈參照〉一節中的 JBoss Enterprise Application Platform 6.4.0 版本資訊連結中取得。建議所有在 Red Hat Enterprise Linux 7 中需要 JBoss Enterprise Application Platform 6.4.0 的使用者皆安裝這些新套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

現已提供適用於 Red Hat Enterprise Linux 5、6 和 7 的更新版 Red Hat JBoss Web Server 2.1.0，可修正兩個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Web Server 是一組已完全整合並經過認證的元件，可用於主控 Java Web 應用程式。它由 Apache HTTP Server、Apache Tomcat Servlet 容器、Apache Tomcat Connector (mod_jk)、JBoss HTTP Connector (mod_cluster)、Hibernate 和 Tomcat Native 程式庫所組成。

在 mod_cluster 管理員處理某些 MCMP 訊息的方式中發現一個瑕疵。若攻擊者可存取允許傳送 MCMP 訊息的網路，則可利用此瑕疵，在 mod_cluster 管理員 Web 介面中執行任意 JavaScript 程式碼。
(CVE-2015-0298)

據發現，舊版 JkMount 規則的樹狀子目錄 JkUnmount 規則可能遭到忽略。這可能讓遠端攻擊者從樹狀結構存取他們本來無法存取的私密成品。(CVE-2014-8111)

建議所有 Red Hat JBoss Web Server 2.1.0 使用者皆套用此更新。必須先重新啟動 Red Hat JBoss Web Server 處理程序，此更新才會生效。

Updated packages that provide Red Hat JBoss Enterprise Application Platform 6.4.0, and fix multiple security issues, several bugs, and add various enhancements, are now available for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having Important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Red Hat JBoss Enterprise Application Platform 6 is a platform for Java applications based on JBoss Application Server 7.

It was found that a prior countermeasure in Apache WSS4J for Bleichenbacher's attack on XML Encryption (CVE-2011-2487) threw an exception that permitted an attacker to determine the failure of the attempted attack, thereby leaving WSS4J vulnerable to the attack. The original flaw allowed a remote attacker to recover the entire plain text form of a symmetric key. (CVE-2015-0226)

A flaw was found in the way PicketLink's Service Provider and Identity Provider handled certain requests. A remote attacker could use this flaw to log to a victim's account via PicketLink. (CVE-2015-0277)

It was discovered that a JkUnmount rule for a subtree of a previous JkMount rule could be ignored. This could allow a remote attacker to potentially access a private artifact in a tree that would otherwise not be accessible to them. (CVE-2014-8111)

It was found that Apache WSS4J permitted bypass of the requireSignedEncryptedDataElements configuration property via XML Signature wrapping attacks. A remote attacker could use this flaw to modify the contents of a signed request. (CVE-2015-0227)

It was found that the Command Line Interface, as provided by Red Hat Enterprise Application Platform, created a history file named .jboss-cli-history in the user's home directory with insecure default file permissions. This could allow a malicious local user to gain information otherwise not accessible to them. (CVE-2014-3586)

The CVE-2015-0277 issue was discovered by Ondrej Kotek of Red Hat.

This release of JBoss Enterprise Application Platform also includes bug fixes and enhancements. Documentation for these changes will be available shortly from the JBoss Enterprise Application Platform 6.4.0 Release Notes, linked to in the References.

All users who require JBoss Enterprise Application Platform 6.4.0 on Red Hat Enterprise Linux 7 should install these new packages. The JBoss server process must be restarted for the update to take effect.

更新后的程序包提供 Red Hat JBoss Enterprise Application Platform 6.4.0，修复多个安全问题和若干缺陷，并增加了多种增强功能，现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 6 是基于 JBoss Application Server 7 的 Java 应用程序平台。已发现 Apache WSS4J 中针对 Bleichenbacher 对 XML 加密的攻击 (CVE-2011-2487) 的对策抛出异常，允许攻击者确定攻击尝试是否失败，并因此使得 WSS4J 容易遭到攻击。初始缺陷允许远程攻击者恢复对称密钥的完整明文格式。(CVE-2015-0226) 在 PicketLink 的 Service Provider 和 Identity Provider 处理某些请求的方式中发现缺陷。远程攻击者可利用此缺陷通过 PicketLink 登录到受害者的帐户。(CVE-2015-0277) 已发现之前 JkMount 规则子树的 JkUnmount 规则可能被忽略。远程攻击者可利用此漏洞访问某树中其不具备访问权限的隐私构件。(CVE-2014-8111) 已发现 Apache WSS4J 允许通过 XML 签名封装攻击绕过 requireSignedEncryptedDataElements 配置属性。远程攻击者可利用此缺陷修改已签名请求的内容。(CVE-2015-0227) 已发现 Red Hat Enterprise Application Platform 提供的命令行界面会在用户主目录中创建名为 .jboss-cli-history 的历史文件，其默认文件权限不安全。恶意本地用户可利用此缺陷获得本不具有访问权限的信息。(CVE-2014-3586) CVE-2015-0277 问题由 Red Hat 的 Ondrej Kotek 发现。此版本的 JBoss Enterprise Application Platform 也包括缺陷补丁和增强功能。很快将可在“参考”部分链接的 JBoss Enterprise Application Platform 6.4.0 版本说明中查看这些更改的文档。在 Red Hat Enterprise Linux 7 上需要使用 JBoss Enterprise Application Platform 6.4.0 的所有用户都应安装这些新程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

多数のセキュリティ問題と複数のバグを修正し、さまざまな拡張機能を追加するRed Hat JBoss Enterprise Application Platform 6.4.0の更新済みパッケージが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hat JBoss Enterprise Application Platform 6は、JBoss Application Server 7をベースにしたJavaアプリケーション用のプラットフォームです。BleichenbacherのXML暗号化の攻撃（CVE-2011-2487）に対するApache WSS4Jの以前の対策は例外をスローするため、攻撃者は仕掛けた攻撃が失敗したことを判断でき、そのためWSS4Jは攻撃に対して脆弱なままであることがわかりました。元の欠陥により、リモートの攻撃者が、対称キーのプレーンテキストすべてを復元する可能性がありました。（CVE-2015-0226）PicketLinkのサービスプロバイダーとアイデンティティプロバイダーが特定のリクエストを処理する方法に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用し、PicketLinkで被害者のアカウントにログインする可能性があります。（CVE-2015-0277）以前のJkMountルールのサブツリーに対するJkUnmountルールが無視される可能性があることが発見されました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。（CVE-2014-8111）Apache WSS4Jでは、XML署名ラッピング攻撃により、 requireSignedEncryptedDataElements構成プロパティをバイパスされる可能性があることがわかりました。リモートの攻撃者が、この欠陥を悪用して、署名済みリクエストのコンテンツに変更を加える可能性があります。（CVE-2015-0227）Red Hat Enterpriseアプリケーションプラットフォームが提供するコマンドラインインターフェイスが、安全でないデフォルトのファイル権限で.jboss-cli-historyという名前の履歴ファイルをユーザーのホームディレクトリに作成していることが判明しました。これにより、悪意あるローカルのユーザーが本来ならアクセスできない情報を入手する可能性があります。（CVE-2014-3586）Red HatのOndrej Kotek氏が、CVE-2015-0277の問題を発見しました。このJBoss Enterprise Application Platformのリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、「参照」でリンクされている、『Red Hat JBoss Enterprise Application Platform 6.4.0リリースノート』から、間もなく使用できます。Red Hat Enterprise Linux 7でJBoss Enterprise Application Platform 6.4.0が必要なすべてのユーザーは、これらの新しいパッケージをインストールする必要があります。この更新プログラムを有効にするには、JBossサーバープロセスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85563	RHEL 5 / 6 / 7 : JBoss Web Server (RHSA-2015:1642)	Nessus	Red Hat Local Security Checks	2015/8/20	2019/10/24	medium
85563	RHEL 5/6：JBoss Web Server（RHSA-2015:1642）	Nessus	Red Hat Local Security Checks	2015/8/20	2019/10/24	medium
85563	RHEL 5 / 6：JBoss Web Server (RHSA-2015:1642)	Nessus	Red Hat Local Security Checks	2015/8/20	2019/10/24	medium
112239	RHEL 7：JBoss EAP (RHSA-2015:0848)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/13	high
85563	RHEL 5 / 6：JBoss Web Server (RHSA-2015:1642)	Nessus	Red Hat Local Security Checks	2015/8/20	2019/10/24	medium
112239	RHEL 7 : JBoss EAP (RHSA-2015:0848)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/13	high
112239	RHEL 7：JBoss EAP (RHSA-2015:0848)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/13	high
112239	RHEL 7：JBoss EAP（RHSA-2015:0848）	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/13	high

検出

プラグインの検索

medium

medium

medium

high

medium

high

high

high