There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the
    UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code
    using a chain of java serialized objects via org.ajax4jsf.resource.UserResource$UriData. (CVE-2018-14667)

更新现在可用于 Red Hat Enterprise Linux 5 的 Red Hat JBoss Enterprise Application Platform 5。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。此异步修补程序是 Red Hat JBoss Enterprise Application Platform 5.2 中 RichFaces 程序包的安全更新。安全修复：* RichFaces：通过 UserResource 的 Expression Language 注入允许未认证的远程代码执行 (CVE-2018-14667) 请查看以下链接获取关于此缺陷的特定信息：https://access.redhat.com/solutions/3660371。有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Joao Filho Matos Figueiredo 报告此问题。

現已提供適用於 Red Hat Enterprise Linux 5 之 Red Hat JBoss Enterprise Application Platform 5 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。這個非同步修補程式是 Red Hat JBoss Enterprise Application Platform 5.2 中 RichFaces 套件的安全性更新。安全性修正：* RichFaces：因 UserResource 導致運算式語言插入，進而導致未經驗證的遠端程式碼執行 (CVE-2018-14667) 如需此缺陷的特定資訊，請參閱 https://access.redhat.com/solutions/3660371 for specific information regarding this flaw。如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Joao Filho Matos Figueiredo 報告此問題。

更新プログラムがRed Hat Enterprise Linux 5のRed Hat JBoss Enterprise Application Platform 5で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。この非同期パッチは、Red Hat JBoss Enterprise Application Platform 5.2のRichFacesパッケージのセキュリティ更新プログラムです。セキュリティ修正プログラム：*RichFaces：UserResource経由での式言語のインジェクションにより、認証なしにリモートでコードが実行される可能性があります（CVE-2018-14667）この欠陥に関する特定の情報については、https://access.redhat.com/solutions/3660371を参照してください。影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hat は、この問題を報告してくれたJoao Filho Matos Figueiredo氏に感謝の意を表します。

The remote Redhat Enterprise Linux 5 / 6 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2018:3517 advisory.

    Red Hat JBoss Enterprise Application Platform is a platform for Java applications based on the JBoss     Application Server.

    This asynchronous patch is a security update for the RichFaces package in Red Hat JBoss Enterprise     Application Platform 5.2.

    Security Fix(es):

    * RichFaces: Expression Language injection via UserResource allows for unauthenticated remote code     execution (CVE-2018-14667)

    See https://access.redhat.com/solutions/3660371 for specific information regarding this flaw.

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

    Red Hat would like to thank Joao Filho Matos Figueiredo for reporting this issue.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
416214	SCA: security update for org.richfaces:richfaces-core (GHSA-j7mw-7crr-658v)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	critical
416214	SCA: security update for org.richfaces:richfaces-core (GHSA-j7mw-7crr-658v)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	critical
118943	RHEL 6：JBoss EAP (RHSA-2018:3517)	Nessus	Red Hat Local Security Checks	2018/11/14	2024/11/5	critical
118943	RHEL 6：JBoss EAP (RHSA-2018:3517)	Nessus	Red Hat Local Security Checks	2018/11/14	2024/11/5	critical
118943	RHEL 6：JBoss EAP（RHSA-2018:3517）	Nessus	Red Hat Local Security Checks	2018/11/14	2024/11/5	critical
118943	RHEL 5 / 6 : JBoss Enterprise Application Platform 5.2.0 (RHSA-2018:3517)	Nessus	Red Hat Local Security Checks	2018/11/14	2024/11/5	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical