An update is now available for Red Hat JBoss Enterprise Application Platform 7.2 for Red Hat Enterprise Linux 6.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat JBoss Enterprise Application Platform 7 is a platform for Java applications based on JBoss Application Server 7.

This release of Red Hat JBoss Enterprise Application Platform 7.2.1 serves as a replacement for Red Hat JBoss Enterprise Application Platform 7.2.0, and includes bug fixes and enhancements. Refer to the Red Hat JBoss Enterprise Application Platform 7.2.1 Release Notes for information on the most significant bug fixes and enhancements included in this release.

Security Fix(es) :

* jackson-databind: Potential information exfiltration with default typing, serialization gadget from MyBatis (CVE-2018-11307)

* jackson-databind: improper polymorphic deserialization of types from Jodd-db library (CVE-2018-12022)

* jackson-databind: improper polymorphic deserialization of types from Oracle JDBC driver (CVE-2018-12023)

* undertow: Infoleak in some circumstances where Undertow can serve data from a random buffer (CVE-2018-14642)

* jackson-databind: exfiltration/XXE in some JDK classes (CVE-2018-14720)

* jackson-databind: server-side request forgery (SSRF) in axis2-jaxws class (CVE-2018-14721)

* wildfly: Race condition on PID file allows for termination of arbitrary processes by local users (CVE-2019-3805)

* wildfly: wrong SecurityIdentity for EE concurrency threads that are reused (CVE-2019-3894)

For more details about the security issue(s), including the impact, a CVSS score, and other related information, refer to the CVE page(s) listed in the References section.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2019:1108 advisory.

    Red Hat JBoss Enterprise Application Platform 7 is a platform for Java applications based on JBoss     Application Server 7.

    This release of Red Hat JBoss Enterprise Application Platform 7.2.1 serves as a replacement for Red Hat     JBoss Enterprise Application Platform 7.2.0, and includes bug fixes and enhancements. Refer to the Red Hat     JBoss Enterprise Application Platform 7.2.1 Release Notes for information on the most significant bug     fixes and enhancements included in this release.

    Security Fix(es):

    * jackson-databind: Potential information exfiltration with default typing, serialization gadget from     MyBatis (CVE-2018-11307)

    * jackson-databind: improper polymorphic deserialization of types from Jodd-db library (CVE-2018-12022)

    * jackson-databind: improper polymorphic deserialization of types from Oracle JDBC driver (CVE-2018-12023)

    * undertow: Infoleak in some circumstances where Undertow can serve data from a random buffer     (CVE-2018-14642)

    * jackson-databind: exfiltration/XXE in some JDK classes (CVE-2018-14720)

    * jackson-databind: server-side request forgery (SSRF) in axis2-jaxws class (CVE-2018-14721)

    * wildfly: Race condition on PID file allows for termination of arbitrary processes by local users     (CVE-2019-3805)

    * wildfly: wrong SecurityIdentity for EE concurrency threads that are reused (CVE-2019-3894)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Red Hat Enterprise Linux 6用のRed Hat JBoss Enterprise Application Platform 7.2の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を重要と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platform 7は、JBoss Application Server 7に基づくJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.2.1のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.2.0の代替品として機能し、バグ修正プログラムと機能拡張が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.2.1リリースノート』を参照してください。セキュリティ修正プログラム：* jackson-databind：デフォルトのタイピングによる潜在的な情報の抜き取り、MyBatisからのシリアル化ガジェット（CVE-2018-11307）* jackson-databind：Jodd-dbライブラリからのタイプの不適切で多態的な逆シリアル化（CVE-2018-12022）* jackson-databind：Oracle JDBCドライバーからの不適切で多態的な逆シリアル化（CVE-2018-12023）* undertow：Undertowがランダムバッファからデータを提供できる特定の状況での情報漏えい（CVE-2018-14642）* jackson-databind：一部のJDKクラスでの抜き取り/XXE（CVE-2018-14720）* jackson-databind：axis2-jaxwsクラスでのサーバーサイドのリクエスト偽装（SSRF）（CVE-2018-14721）* wildfly：PIDファイルの競合状態により、ローカルユーザーが任意のプロセスを終了可能（CVE-2019-3805）* wildfly：再利用されるEE同時実行スレッドに対する間違ったSecurityIdentity（CVE-2019-3894）影響、CVSSスコア、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2019: 1108 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - jackson-databind: デフォルトのタイピングによる潜在的な情報の抜き取り、MyBatis からのシリアル化ガジェット (CVE-2018-11307)

  - jackson-databind: Jodd-db ライブラリからのタイプの不適切で多態的な逆シリアル化 (CVE-2018-12022)

  - jackson-databind: Oracle JDBC ドライバーからの不適切で多態的な逆シリアル化 (CVE-2018-12023)

  - undertow: Undertow がランダムバッファからのデータを提供する可能性がある特定の状況下での情報漏洩 (CVE-2018-14642)

  - jackson-databind: 一部の JDK クラスでの抜き取り/XXE (CVE-2018-14720)

  - jackson-databind: axis2-jaxws クラスでのサーバーサイドのリクエスト偽装 (SSRF) (CVE-2018-14721)

  - wildfly：PID ファイルの競合状態により、ローカルユーザーが任意のプロセスを終了可能 (CVE-2019-3805)

  - wildfly：再利用される EE 同時実行スレッドに対する誤った SecurityIdentity (CVE-2019-3894)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

現已提供適用於 Red Hat Enterprise Linux 7.2 之 Red Hat JBoss Enterprise Application Platform 6 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從參照一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat JBoss Enterprise Application Platform 7 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。此 Red Hat JBoss Enterprise Application Platform 7.2.1 是 Red Hat JBoss Enterprise Application Platform 7.2.0 的替代版本，內含數個錯誤修正和增強功能。如需此本版本中包含的最重要錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.2.1 版本資訊。安全性修正：* jackson-databind：使用 MyBatis 的序列化小工具的預設輸入，可能發生資訊外洩 (CVE-2018-11307) * jackson-databind：Jodd-db 程式庫的類型的不當多型態還原序列化 (CVE-2018-12022) * jackson-databind：Oracle JDBC 驅動程式的類型的不當多型態還原序列化 (CVE-2018-12023) * undertow：在 Undertow 可以從隨機緩衝區提供資料的某些情況下的資訊洩露 (CVE-2018-14642) * jackson-databind：某些 JDK 類別中的資訊外洩/XXE (CVE-2018-14720) * jackson-databind：在 axis2-jaxws 類別中的伺服器端要求偽造 (SSRF) (CVE-2018-14721) * wildfly：PID 檔案上的爭用情形可讓本機使用者終止任意處理程序 (CVE-2019-3805) * wildfly：重複使用了 EE 並行執行緒的錯誤 SecurityIdentity (CVE-2019-3894) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2019: 1108 公告中提及的多個弱點影響。

  - jackson-databind：使用 MyBatis 的序列化小工具的預設輸入，可能發生資訊外洩 (CVE-2018-11307)

  - jackson-databind：Jodd-db 程式庫的類型的不當多型態還原序列化 (CVE-2018-12022)

  - jackson-databind：Oracle JDBC 驅動程式的類型的不當多型態還原序列化 (CVE-2018-12023)

  - undertow：在 Undertow 可以從隨機緩衝區提供資料的某些情況下的資訊洩漏 (CVE-2018-14642)

  - jackson-databind：某些 JDK 類別中的資訊外洩/XXE (CVE-2018-14720)

  - jackson-databind：在 axis2-jaxws 類別中的伺服器端要求偽造 (SSRF) (CVE-2018-14721)

  - wildfly：PID 檔案上的爭用情形可讓本機使用者終止任意處理程序 (CVE-2019-3805)

  - wildfly：重複使用了 EE 並行執行緒的錯誤 SecurityIdentity (CVE-2019-3894)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2019: 1108 公告中提及的多个漏洞影响。

  - jackson-databind：使用 MyBatis 的序列化小工具的默认输入，可能发生信息外泄 (CVE-2018-11307)

  - jackson-databind：Jodd-db 库的类型的不当多型态还原串行化 (CVE-2018-12022)

  - jackson-databind：Oracle JDBC 驱动程序的类型的不当多态还原序列化 (CVE-2018-12023)

  - undertow：在 Undertow 可以从随机缓冲区提供数据的某些情况下的信息泄露 (CVE-2018-14642)

  - jackson-databind：某些 JDK 类别中的信息外泄/XXE (CVE-2018-14720)

  - jackson-databind：在 axis2-jaxws 类别中的服务器端请求伪造 (SSRF) (CVE-2018-14721)

  - wildfly：PID 文件上的争用条件允许本地用户终止任意进程 (CVE-2019-3805)

  - wildfly：重用的 EE 并发线程的 SecurityIdentity 错误 (CVE-2019-3894)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新现在可用于 Red Hat Enterprise Linux 7.2 的 Red Hat JBoss Enterprise Application Platform 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 7 是基于 JBoss Application Server 7 的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.2.1 版本可替换 Red Hat JBoss Enterprise Application Platform 7.2.0，并且包括缺陷修复和增强功能。请参阅 Red Hat JBoss Enterprise Application Platform 7.2.1 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。安全修复：* jackson-databind：使用 MyBatis 的序列化小工具的默认输入，可能发生信息外泄 (CVE-2018-11307) * jackson-databind：Jodd-db 库的类型的不当多型态还原串行化 (CVE-2018-12022) * jackson-databind：Oracle JDBC 驱动程序的类型的不当多态还原序列化 (CVE-2018-12023) * undertow：在 Undertow 可以从随机缓冲区提供数据的某些情况下的信息泄露 (CVE-2018-14642) * jackson-databind：某些 JDK 类别中的信息外泄/XXE (CVE-2018-14720) * jackson-databind：在 axis2-jaxws 类别中的服务器端请求伪造 (SSRF) (CVE-2018-14721) * wildfly：PID 文件上的争用条件允许本地用户终止任意进程 (CVE-2019-3805) * wildfly：重复使用了 EE 并行线程的错误 SecurityIdentity (CVE-2019-3894) 如需安全性问题的详细数据，包括影响、CVSS 分数及其他相关信息，请参阅“参照”一节列出的 CVE 页面。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
124840	RHEL 6 : JBoss EAP (RHSA-2019:1107)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/5/23	critical
124841	RHEL 7 : Red Hat JBoss Enterprise Application Platform 7.2.1 on RHEL 7 (RHSA-2019:1108)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/6/3	critical
124840	RHEL 6：JBoss EAP（RHSA-2019:1107）	Nessus	Red Hat Local Security Checks	2019/5/13	2024/5/23	critical
124841	RHEL 7: RHEL 7 上の Red Hat JBoss Enterprise Application Platform 7.2.1 (RHSA-2019: 1108)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/6/3	critical
124840	RHEL 6：JBoss EAP (RHSA-2019:1107)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/5/23	critical
124841	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.2.1 (RHSA-2019: 1108)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/6/3	critical
124841	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.2.1 (RHSA-2019: 1108)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/6/3	critical
124840	RHEL 6：JBoss EAP (RHSA-2019:1107)	Nessus	Red Hat Local Security Checks	2019/5/13	2024/5/23	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical