リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2018:2276 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7は、WildflyをベースにしたJavaアプリケーション用のプラットフォームです。

    この非同期パッチは、Red Hat JBoss Enterprise Application Platform のwildfly-coreとapache-cxfパッケージのセキュリティ更新プログラムです。 7.1

    セキュリティ修正プログラム: 

    * apache-cxfcom.sun.net.ssl で TLS ホスト名の検証が正常に機能しません。*CVE-2018-8039

    * wildfly-coreパストラバーサルで.warアーカイブを抽出して任意のファイルを書き込む可能性があります。
    (CVE-2018-10862)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているOracle Enterprise Manager Cloud Controlのバージョンは、Enterprise Manager Base Platformコンポーネントにある複数の脆弱性による影響を受けます。Oracle Enterprise Manager Products SuiteのEnterprise Manager Base Platformコンポーネントに詳細不明な脆弱性（サブコンポーネント：Connector Framework（Apache CXF））があり、認証されていないリモートの攻撃者が、Enterprise Manager Base Platformを侵害する可能性があります。（CVE-2018-8039）Oracle Enterprise Manager Products SuiteのOracle Enterprise Manager Base Platformコンポーネントに詳細不明な脆弱性（サブコンポーネント：Valid Session（Apache ActiveMQ））があり、認証されていないリモートの攻撃者が、Oracle Enterprise Manager Base Platformを侵害する可能性があります。（CVE-2019-0222）- Oracle Enterprise Manager Products SuiteのEnterprise Manager Base Platformコンポーネントに詳細不明な脆弱性（サブコンポーネント：Discovery Framework（OpenSSL））があり、認証されていないリモートの攻撃者が、Enterprise Manager Base Platformを侵害する可能性があります。（CVE-2019-1559）

Red Hat Enterprise Linux 6のRed Hat JBoss Enterprise Application Platform 7.1で更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.1.4のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.3を置換するものとして機能し、「参照」でリンクされているリリースノートにドキュメント化されているバグ修正プログラムと拡張機能が含まれています。セキュリティ修正プログラム：* guava：AtomDoubleArrayおよびCompoundOrderingクラスの無制限メモリ割り当てにより、リモートの攻撃者がサービス拒否を引き起こす可能性（CVE-2018-10237）* bouncycastle：RSAキーペアジェネレーターへの低レベルインターフェイスにおける欠陥（CVE-2018-1000180）* cxf：JAX-WSおよびJAX-RSサービスのメッセージ添付ファイルヘッダーの不適切なサイズ検証（CVE-2017-12624）* wildfly：wildfly-core：パストラバーサルで.warアーカイブを抽出して任意のファイルを書き込む可能性（CVE-2018-10862）* cxf-core：apache-cxf：com.sun.net.sslでTLSホスト名の検証が正常に機能しません。*（CVE-2018-8039）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートRedhat Enterprise Linux 7ホストに、RHSA-2018:2424アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform は、JBoss Application Server をベースにした Java アプリケーション用のプラットフォームです。

    Red Hat JBoss Enterprise Application Platform 7.1.4のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.3に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。

    セキュリティ修正プログラム:

    * guava: AtomicDoubleArray および CompoundOrdering クラスの無制限メモリ割り当てにより、リモートの攻撃者がサービス拒否を引き起こす可能性があります (CVE-2018-10237)

    * bouncycastleRSA キーペアジェネレーターへの低レベルインターフェイスにある欠陥CVE-2018-1000180

    * cxfJAX-WS および JAX-RS サービスのメッセージ添付ファイルヘッダーの不適切なサイズ検証CVE-2017-12624

    * wildflywildfly-coreパストラバーサルで.war アーカイブを抽出して任意のファイルを書き込む可能性がありますCVE-2018-10862

    * cxf-coreapache-cxfcom.sun.net.ssl で TLS ホスト名の検証が正常に機能しません。*CVE-2018-8039

    影響、CVSS スコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

rhvm-applianceの更新プログラムがRed Hat Enterprise Linux 7のRed Hat Virtualization 4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。RHV-M Virtual Applianceは、Red Hat Virtualization Managerのインストールおよび構成プロセスを自動化します。アプライアンスは、OVAファイルとしてCustomer Portalからダウンロードできます。次のパッケージが新しいアップストリームバージョンにアップグレードされました：rhvm-appliance （4.2）。（BZ#1590658、BZ#1591095、BZ#1591096、BZ#1592655、BZ# 1594636、BZ#1597534、BZ#1612683）Red Hatは、CVE-2018-10915を報告してくれたPostgreSQLプロジェクトと、CVE-2018-1067を報告してくれたAmmarit Thongthua氏（Deloitte Thailand Pentestチーム）とNattakit Intarasorn氏（Deloitte Thailand Pentestチーム）に感謝の意を表します。アップストリームでは、Andrew KrasichkovをCVE-2018-10915の最初の報告者として認めています。セキュリティ修正プログラム：*脆弱性：wildfly-core：パストラバーサルで.warアーカイブを抽出して任意のファイルを書き込む可能性（Zip Slip）（CVE-2018-10862）*脆弱性：apache-cxf：com.sun.net.sslでTLSホスト名の検証が正常に機能しません。*（CVE-2018-8039）*脆弱性：postgresql：特定のホスト接続パラメーターはクライアントサイドのセキュリティ防御を回避します。*（CVE-2018-10915）*脆弱性：undertow：UTF-8エンコーディング（不完全な修正）のCRLFを使ったHTTPヘッダー挿入（CVE-2018-1067、 CVE-2016-4993）* 脆弱性： undertow：JarURLConnection.getLastModified()によるファイル記述子の漏えいにより、攻撃者がサービス拒否を引き起こす可能性があります（CVE-2018-1114） *脆弱性： guava：AtomDoubleArrayおよびCompoundOrderingクラスの無制限メモリ割り当てにより、リモートの攻撃者がサービス拒否を引き起こす可能性（CVE-2018-10237）*脆弱性：bouncycastle：RSAキーペアジェネレーターへの低レベルインターフェイスにおける欠陥（CVE-2018-1000180）影響、CVSSスコア、認定、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEページを参照してください。

リモートホストで実行されているIBM WebSphere Application Serverのバージョンは、9.0.0.9より前の9.0.xです。したがって、TLSホスト名検証がcom.sun.net.sslインターフェイスで適切に機能しないため、Apache CXFサブコンポーネントの中間者 (MITM) の脆弱性の影響を受けます。リモートの認証されていない攻撃者がこの問題を悪用して、中間者攻撃を仕掛ける可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111486	RHEL 6/7Red Hat JBoss Enterprise Application Platform 7.1RHSA-2018:2276	Nessus	Red Hat Local Security Checks	2018/8/2	2025/4/29	high
126775	Oracle Enterprise Manager Cloud Control（2019年7月のCPU）	Nessus	Misc.	2019/7/17	2022/12/6	high
112029	RHEL 6：JBoss EAP（RHSA-2018:2423）	Nessus	Red Hat Local Security Checks	2018/8/21	2025/4/29	high
112030	RHEL 7RHEL7 の Red Hat JBoss Enterprise Application Platform 7.1.4RHSA-2018:2424	Nessus	Red Hat Local Security Checks	2018/8/21	2025/4/29	high
117324	RHEL 7：仮想化（RHSA-2018:2643）	Nessus	Red Hat Local Security Checks	2018/9/6	2025/4/29	high
141915	IBM WebSphere Application Server 9.0.x< 9.0.0.9の MITM (CVE-2018-8039)	Nessus	Web Servers	2020/10/27	2025/2/20	high

検出

プラグインの検索

high

high

high

high

high

high