RHEL 6 用の Red Hat JBoss Enterprise Web Server 2.1 の更新が現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

このリリースは、Red Hat JBoss Web Server 2.1.0 を置き換えるもので、複数のバグ修正を含んでいます。これらの変更の最も重要な情報については、参照セクションでリンクされている、Red Hat JBoss Web Server 2.1.1 リリースノートを参照してください。

Red Hat Enterprise Linux 6 上の Red Hat JBoss Web Server 2.1.0 の全ユーザーは、 Red Hat JBoss Web Server 2.1.1 にアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

セキュリティ修正：

CGI スクリプトの HTTP_PROXY 環境変数を初期化するために、httpd が HTTP リクエストからの Proxy ヘッダーの値を使用していることが判明しました。これは、発信 HTTP リクエストのプロキシを構成するために、特定の HTTP クライアント実装により引き続き不適切に使用されていました。リモートの攻撃者が、この欠陥を利用して、悪意のある HTTP リクエストを通じて、CGI スクリプトにより実行される HTTP リクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-5387）

* OpenSSL の EVP_EncodeUpdate() 関数が非常に多量の入力データを解析する方法で、バッファオーバーフローにつながる整数オーバーフローの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して、OpenSSL を使用しているアプリケーションをクラッシュさせるか、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2016-2105）

* OpenSSL の EVP_EncryptUpdate() 関数が非常に多量の入力データを解析する方法で、バッファオーバーフローにつながる整数オーバーフローの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して、OpenSSL を使用しているアプリケーションをクラッシュさせるか、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2016-2106）

* サービスメッセージ（MCMP）を介して、Apache http サーバーが mod_cluster に特別に細工された文字列を送信することで、リモートでセグメンテーション違反を引き起こす可能性があることが発見されました。（CVE-2016-3110）

Red Hat は、CVE-2016-5387 を報告してくれた Scott Geary 氏（VendHQ）、CVE-2016-2105 および CVE-2016-2106 を報告してくれた OpenSSL プロジェクト、および CVE-2016-3110 を報告してくれた Michal Karm Babacek 氏に感謝の意を表します。
Upstream は、Guido Vranken 氏を CVE-2016-2105 および CVE-2016-2106 の最初の報告者として認めます。

セキュリティ、パフォーマンスの更新、httpd BZ 1708248のクラッシュによるブロッカーの問題

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Red Hat JBoss Enterprise Application Platform 6.4.10 を提供し、いくつかのバグを修正し、いくつかの拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示す CVSS (共通脆弱性評価システム) ベーススコアは、「参照」セクションの CVE リンクから脆弱性ごとに入手できます。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

このリリースにはバグ修正プログラムと機能強化のほか、OpenSSL の新しいリリースが含まれています。詳細については、「参照」セクションでリンクされているナレッジベースの記事を参照してください。Red Hat Enterprise Linux 7 の Red Hat JBoss Enterprise Application Platform 6.4 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

セキュリティ修正プログラム:

* httpd が HTTP リクエストを解析し、チャンク転送エンコーディングを使用して応答する方法で、複数の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、特別に細工されたリクエストを作成し、httpdにHTTPプロキシソフトウェアとは異なる方法でデコードさせ、HTTPリクエストスマグリング攻撃を引き起こす可能性があります。（CVE-2015-3183）

* サービスメッセージ (MCMP) を介して特別に細工された文字列を mod_cluster に送信することにより、リモートで Apache http サーバーにセグメンテーション違反を発生させることが可能であることがわかりました。(CVE-2016-3110)

* JVMRoute パスが 80 文字を超える構成を指定すると、セグメンテーション違反が発生し、サーバーのクラッシュを引き起こすことがわかりました。(CVE-2016-4459)

Red Hatは、CVE-2016-3110を報告してくれたMichal Karm Babacek氏に感謝の意を表します。CVE-2016-4459の問題は、Robert Bost氏（Red Hat）により発見されました。

Red Hat JBoss Enterprise Application Platform 6.4.10 ネイティブを提供し、いくつかのバグを修正し、さまざまな拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示す CVSS (共通脆弱性評価システム) ベーススコアは、「参照」セクションの CVE リンクから脆弱性ごとに入手できます。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

このリリースにはバグ修正プログラムと機能強化のほか、OpenSSL の新しいリリースが含まれています。詳細については、「参照」セクションでリンクされているナレッジベースの記事を参照してください。Red Hat Enterprise Linux 6 の Red Hat JBoss Enterprise Application Platform 6.4 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

セキュリティ修正プログラム:

* httpd が HTTP リクエストを解析し、チャンク転送エンコーディングを使用して応答する方法で、複数の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、特別に細工されたリクエストを作成し、httpdにHTTPプロキシソフトウェアとは異なる方法でデコードさせ、HTTPリクエストスマグリング攻撃を引き起こす可能性があります。（CVE-2015-3183）

* サービスメッセージ (MCMP) を介して特別に細工された文字列を mod_cluster に送信することにより、リモートで Apache http サーバーにセグメンテーション違反を発生させることが可能であることがわかりました。(CVE-2016-3110)

* JVMRoute パスが 80 文字を超える構成を指定すると、セグメンテーション違反が発生し、サーバーのクラッシュを引き起こすことがわかりました。(CVE-2016-4459)

Red Hatは、CVE-2016-3110を報告してくれたMichal Karm Babacek氏に感謝の意を表します。CVE-2016-4459の問題は、Robert Bost氏（Red Hat）により発見されました。

RHEL 7 用の Red Hat JBoss Enterprise Web Server 2.1 の更新が現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

このリリースは、Red Hat JBoss Web Server 2.1.0 を置き換えるもので、複数のバグ修正を含んでいます。これらの変更の内、最も重要なものに関する情報については Red Hat JBoss Web Server 2.1.1 リリースノートを参照してください。以下の URL で近日中に公開されます。https://access.redhat.com/site/documentation/

Red Hat Enterprise Linux 7 上の Red Hat JBoss Web Server 2.1.0 の全ユーザーは、 Red Hat JBoss Web Server 2.1.1 にアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

セキュリティ修正：

CGI スクリプトの HTTP_PROXY 環境変数を初期化するために、httpd が HTTP リクエストからの Proxy ヘッダーの値を使用していることが判明しました。これは、発信 HTTP リクエストのプロキシを構成するために、特定の HTTP クライアント実装により引き続き不適切に使用されていました。リモートの攻撃者が、この欠陥を利用して、悪意のある HTTP リクエストを通じて、CGI スクリプトにより実行される HTTP リクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-5387）

* OpenSSL の EVP_EncodeUpdate() 関数が非常に多量の入力データを解析する方法で、バッファオーバーフローにつながる整数オーバーフローの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して、OpenSSL を使用しているアプリケーションをクラッシュさせるか、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2016-2105）

* OpenSSL の EVP_EncryptUpdate() 関数が非常に多量の入力データを解析する方法で、バッファオーバーフローにつながる整数オーバーフローの欠陥が見つかりました。リモートの攻撃者はこの欠陥を利用して、OpenSSL を使用しているアプリケーションをクラッシュさせるか、そのアプリケーションを実行しているユーザーの権限で任意のコードを実行する可能性があります。（CVE-2016-2106）

* サービスメッセージ（MCMP）を介して、Apache http サーバーが mod_cluster に特別に細工された文字列を送信することで、リモートでセグメンテーション違反を引き起こす可能性があることが発見されました。（CVE-2016-3110）

Red Hat は、CVE-2016-5387 を報告してくれた Scott Geary 氏（VendHQ）、CVE-2016-2105 および CVE-2016-2106 を報告してくれた OpenSSL プロジェクト、および CVE-2016-3110 を報告してくれた Michal Karm Babacek 氏に感謝の意を表します。
Upstream は、Guido Vranken 氏を CVE-2016-2105 および CVE-2016-2106 の最初の報告者として認めます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
93119	RHEL 6：JBoss Web Server（RHSA-2016:1649）	Nessus	Red Hat Local Security Checks	2016/8/26	2026/1/28	high
124725	Fedora 28：mod_cluster（2019-3877efca99）	Nessus	Fedora Local Security Checks	2019/5/10	2024/5/24	high
112247	RHEL 7：JBoss EAP (RHSA-2016:2054)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/12	high
94066	RHEL 6：JBoss EAP（RHSA-2016:2055）	Nessus	Red Hat Local Security Checks	2016/10/14	2026/1/21	high
93118	RHEL 7：JBoss Web Server（RHSA-2016:1648）	Nessus	Red Hat Local Security Checks	2016/8/26	2024/11/4	high
124723	Fedora 29：mod_cluster（2019-17556e2ad6）	Nessus	Fedora Local Security Checks	2019/5/10	2024/5/24	high
124727	Fedora 30：mod_cluster（2019-7813edd5a2）	Nessus	Fedora Local Security Checks	2019/5/10	2024/5/24	high

検出

プラグインの検索

high

high

high

high

high

high

high