リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 2513アドバイザリに記載されている脆弱性の影響を受けます。

  - CVE-2020-6950 Mojarra: locパラメーターまたはconパラメーターのいずれかによるパストラバーサル、（CVE-2018-14371）の不完全な修正

  - thrift: 特定の入力データでフィードする際の無限ループ（CVE-2019-0205）

  - thrift: TJSONProtocolまたはTSimpleJSONProtocolに関連する領域外読み取り（CVE-2019-0210）

  - jackson-mapper-asl:CVE-2016-3720に類似するXML外部エンティティ（CVE-2019-10172）

  - cxf: OpenId ConnectトークンサービスがclientIdを適切に検証しません（CVE-2019-12423）

  - wildfly: OpenSSLセキュリティプロバイダーが使用中の場合、レガシーセキュリティの「enabled-protocols」の値が考慮されない（CVE-2019-14887）

  - cxf: サービス一覧ページでの折り返し型XSS（CVE-2019-17573）

  - RESTEasy:RESTEASY003870 RESTEasyのに例外が折り返し型XSS攻撃をもたらす可能性があります（CVE-2020-10688）

  - undertow：Expectを介したHttpReadListenerのメモリ枯渇問題：100-continueヘッダー（CVE-2020-10705）

  undertow：大きなサイズのチャンクが指定された無効なHTTPリクエスト（CVE-2020-10719）

  - resteasy: MediaTypeHeaderDelegate.javaクラスの応答ヘッダーの不適切な検証（CVE-2020-1695）

  - Wildfly: EJBContextプリンシパルが、異なるセキュリティドメインを使用する別のEJBを呼び出した後に戻りません（CVE-2020-1719）

  - SmallRye：SecuritySupportクラスは不適切に公開されます。これには、現在のスレッドのコンテキストクラスローダーにアクセスするための静的メソッドが含まれます（CVE-2020-1729）

  - undertow: AJPファイル読み取り/インクルージョンの脆弱性（CVE-2020-1745）

  - undertow: servletPathが不適切に正規化され、危険なアプリケーションマッピングが行われます。これにより、セキュリティがバイパスされる可能性があります（CVE-2020-1757）

  - Mojarra: locパラメーターまたはconパラメーターのいずれかによるパストラバーサル、CVE-2018-14371の不完全な修正（CVE-2020-6950）

  - cryptacular: デコード操作中の過剰なメモリ割り当て（CVE-2020-7226）

  - jackson-databind: 特定のxbean-reflect/JNDIブロックがありません（CVE-2020-8840）

  - jackson-databind: shaded-hikari-configでのシリアル化ガジェット（CVE-2020-9546）

  - jackson-databind: ibatis-sqlmapでのシリアル化ガジェット（CVE-2020-9547）

  - jackson-databind: anteros-coreでのシリアル化ガジェット（CVE-2020-9548）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 2512アドバイザリに記載されている脆弱性の影響を受けます。

  - CVE-2020-6950 Mojarra: locパラメーターまたはconパラメーターのいずれかによるパストラバーサル、（CVE-2018-14371）の不完全な修正

  - thrift: 特定の入力データでフィードする際の無限ループ（CVE-2019-0205）

  - thrift: TJSONProtocolまたはTSimpleJSONProtocolに関連する領域外読み取り（CVE-2019-0210）

  - jackson-mapper-asl:CVE-2016-3720に類似するXML外部エンティティ（CVE-2019-10172）

  - cxf: OpenId ConnectトークンサービスがclientIdを適切に検証しません（CVE-2019-12423）

  - wildfly: OpenSSLセキュリティプロバイダーが使用中の場合、レガシーセキュリティの「enabled-protocols」の値が考慮されない（CVE-2019-14887）

  - cxf: サービス一覧ページでの折り返し型XSS（CVE-2019-17573）

  - RESTEasy:RESTEASY003870 RESTEasyのに例外が折り返し型XSS攻撃をもたらす可能性があります（CVE-2020-10688）

  - undertow：Expectを介したHttpReadListenerのメモリ枯渇問題：100-continueヘッダー（CVE-2020-10705）

  undertow：大きなサイズのチャンクが指定された無効なHTTPリクエスト（CVE-2020-10719）

  - resteasy: MediaTypeHeaderDelegate.javaクラスの応答ヘッダーの不適切な検証（CVE-2020-1695）

  - Wildfly: EJBContextプリンシパルが、異なるセキュリティドメインを使用する別のEJBを呼び出した後に戻りません（CVE-2020-1719）

  - SmallRye：SecuritySupportクラスは不適切に公開されます。これには、現在のスレッドのコンテキストクラスローダーにアクセスするための静的メソッドが含まれます（CVE-2020-1729）

  - undertow: AJPファイル読み取り/インクルージョンの脆弱性（CVE-2020-1745）

  - undertow: servletPathが不適切に正規化され、危険なアプリケーションマッピングが行われます。これにより、セキュリティがバイパスされる可能性があります（CVE-2020-1757）

  - Mojarra: locパラメーターまたはconパラメーターのいずれかによるパストラバーサル、CVE-2018-14371の不完全な修正（CVE-2020-6950）

  - cryptacular: デコード操作中の過剰なメモリ割り当て（CVE-2020-7226）

  - jackson-databind: 特定のxbean-reflect/JNDIブロックがありません（CVE-2020-8840）

  - jackson-databind: shaded-hikari-configでのシリアル化ガジェット（CVE-2020-9546）

  - jackson-databind: ibatis-sqlmapでのシリアル化ガジェット（CVE-2020-9547）

  - jackson-databind: anteros-coreでのシリアル化ガジェット（CVE-2020-9548）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undertow-2.0.30.SP1 より前のすべての undertow-2.xx SP1、undertow-2.1.0.Final より前のすべての undertow-1.xx および undertow-2.xx に欠陥が見つかりました。コンテナは、セミコロンの後にパスを切り捨てることで servletPath を誤って正規化します。これにより、アプリケーションマッピングが発生し、セキュリティバイパスが発生する可能性があります。CVE-2020-1757

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 2059アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - jackson-mapper-asl：CVE-2016-3720に類似するXML外部エンティティ（CVE-2019-10172）

  - cxf: OpenId ConnectトークンサービスがclientIdを適切に検証しません（CVE-2019-12423）

  - cxf：サービス一覧ページでの折り返し型XSS（CVE-2019-17573）

  undertow：Expectを介したHttpReadListenerのメモリ枯渇問題：100-continueヘッダー（CVE-2020-10705）

  undertow：大きなサイズのチャンクが指定された無効なHTTPリクエスト（CVE-2020-10719）

  - Wildfly：EJBContextプリンシパルが、異なるセキュリティドメインを使用する別のEJBを呼び出した後に戻りません（CVE-2020-1719）

  - SmallRye：SecuritySupportクラスは不適切に公開されます。これには、現在のスレッドのコンテキストクラスローダーにアクセスするための静的メソッドが含まれます（CVE-2020-1729）

  - Soteria：同時スレッド間でのセキュリティIDの破損（CVE-2020-1732）

  - undertow：AJPファイル読み取り/インクルージョンの脆弱性（CVE-2020-1745）

  - undertow: servletPathが不適切に正規化され、危険なアプリケーションマッピングが行われます。これにより、セキュリティがバイパスされる可能性があります（CVE-2020-1757）

  - cryptacular：デコード操作中の過剰なメモリ割り当て（CVE-2020-7226）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 6ホストにインストールされているパッケージは、RHSA-2020: 2511アドバイザリに記載されている脆弱性の影響を受けます。

  - CVE-2020-6950 Mojarra: locパラメーターまたはconパラメーターのいずれかによるパストラバーサル、（CVE-2018-14371）の不完全な修正

  - thrift: 特定の入力データでフィードする際の無限ループ（CVE-2019-0205）

  - thrift: TJSONProtocolまたはTSimpleJSONProtocolに関連する領域外読み取り（CVE-2019-0210）

  - jackson-mapper-asl:CVE-2016-3720に類似するXML外部エンティティ（CVE-2019-10172）

  - cxf: OpenId ConnectトークンサービスがclientIdを適切に検証しません（CVE-2019-12423）

  - wildfly: OpenSSLセキュリティプロバイダーが使用中の場合、レガシーセキュリティの「enabled-protocols」の値が考慮されない（CVE-2019-14887）

  - cxf: サービス一覧ページでの折り返し型XSS（CVE-2019-17573）

  - RESTEasy:RESTEASY003870 RESTEasyのに例外が折り返し型XSS攻撃をもたらす可能性があります（CVE-2020-10688）

  - undertow：Expectを介したHttpReadListenerのメモリ枯渇問題：100-continueヘッダー（CVE-2020-10705）

  undertow：大きなサイズのチャンクが指定された無効なHTTPリクエスト（CVE-2020-10719）

  - resteasy: MediaTypeHeaderDelegate.javaクラスの応答ヘッダーの不適切な検証（CVE-2020-1695）

  - Wildfly: EJBContextプリンシパルが、異なるセキュリティドメインを使用する別のEJBを呼び出した後に戻りません（CVE-2020-1719）

  - SmallRye：SecuritySupportクラスは不適切に公開されます。これには、現在のスレッドのコンテキストクラスローダーにアクセスするための静的メソッドが含まれます（CVE-2020-1729）

  - undertow: AJPファイル読み取り/インクルージョンの脆弱性（CVE-2020-1745）

  - undertow: servletPathが不適切に正規化され、危険なアプリケーションマッピングが行われます。これにより、セキュリティがバイパスされる可能性があります（CVE-2020-1757）

  - Mojarra: locパラメーターまたはconパラメーターのいずれかによるパストラバーサル、CVE-2018-14371の不完全な修正（CVE-2020-6950）

  - cryptacular: デコード操作中の過剰なメモリ割り当て（CVE-2020-7226）

  - jackson-databind: 特定のxbean-reflect/JNDIブロックがありません（CVE-2020-8840）

  - jackson-databind: shaded-hikari-configでのシリアル化ガジェット（CVE-2020-9546）

  - jackson-databind: ibatis-sqlmapでのシリアル化ガジェット（CVE-2020-9547）

  - jackson-databind: anteros-coreでのシリアル化ガジェット（CVE-2020-9548）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 6ホストにインストールされているパッケージは、RHSA-2020: 2058アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - jackson-mapper-asl：CVE-2016-3720に類似するXML外部エンティティ（CVE-2019-10172）

  - cxf: OpenId ConnectトークンサービスがclientIdを適切に検証しません（CVE-2019-12423）

  - cxf：サービス一覧ページでの折り返し型XSS（CVE-2019-17573）

  undertow：Expectを介したHttpReadListenerのメモリ枯渇問題：100-continueヘッダー（CVE-2020-10705）

  undertow：大きなサイズのチャンクが指定された無効なHTTPリクエスト（CVE-2020-10719）

  - Wildfly：EJBContextプリンシパルが、異なるセキュリティドメインを使用する別のEJBを呼び出した後に戻りません（CVE-2020-1719）

  - SmallRye：SecuritySupportクラスは不適切に公開されます。これには、現在のスレッドのコンテキストクラスローダーにアクセスするための静的メソッドが含まれます（CVE-2020-1729）

  - Soteria：同時スレッド間でのセキュリティIDの破損（CVE-2020-1732）

  - undertow：AJPファイル読み取り/インクルージョンの脆弱性（CVE-2020-1745）

  - undertow: servletPathが不適切に正規化され、危険なアプリケーションマッピングが行われます。これにより、セキュリティがバイパスされる可能性があります（CVE-2020-1757）

  - cryptacular：デコード操作中の過剰なメモリ割り当て（CVE-2020-7226）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 8 ホストに、RHSA-2020: 2060アドバイザリに記載されている複数の脆弱性によって影響を受けるパッケージがインストールされています。

  - jackson-mapper-asl：CVE-2016-3720に類似するXML外部エンティティ（CVE-2019-10172）

  - cxf: OpenId ConnectトークンサービスがclientIdを適切に検証しません（CVE-2019-12423）

  - cxf：サービス一覧ページでの折り返し型XSS（CVE-2019-17573）

  undertow：Expectを介したHttpReadListenerのメモリ枯渇問題：100-continueヘッダー（CVE-2020-10705）

  undertow：大きなサイズのチャンクが指定された無効なHTTPリクエスト（CVE-2020-10719）

  - Wildfly：EJBContextプリンシパルが、異なるセキュリティドメインを使用する別のEJBを呼び出した後に戻りません（CVE-2020-1719）

  - SmallRye：SecuritySupportクラスは不適切に公開されます。これには、現在のスレッドのコンテキストクラスローダーにアクセスするための静的メソッドが含まれます（CVE-2020-1729）

  - Soteria：同時スレッド間でのセキュリティIDの破損（CVE-2020-1732）

  - undertow：AJPファイル読み取り/インクルージョンの脆弱性（CVE-2020-1745）

  - undertow: servletPathが不適切に正規化され、危険なアプリケーションマッピングが行われます。これにより、セキュリティがバイパスされる可能性があります（CVE-2020-1757）

  - cryptacular：デコード操作中の過剰なメモリ割り当て（CVE-2020-7226）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2024:5856 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.1.7のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.6に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.1.7 リリースノート』を参照してください。

    セキュリティ修正プログラム:

    * undertow: EAP: フィールド名が RFC7230 に沿って解析されない [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils: apache-commons-beanutils: デフォルトで PropertyUtilsBean 内のクラスプロパティを抑制しない [eap-7.1.z] (CVE-2019-10086)

    * log4j: アプリケーションが JMSSink を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind: デフォルトの入力ミス処理により、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-14379)

    * undertow: HTTP/2: HEADERS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9514)

    * undertow: AJP ファイル読み取り/インクルージョンの脆弱性 [eap-7.1.z] (CVE-2020-1745)

    * undertow: HTTP/2: 大量のデータリクエストにより、サービス拒否が引き起こされる [eap-7.1.z] (CVE-2019-9511)

    * undertow: servletPath が不適切に正規化され、危険なアプリケーションマッピングが行われることによる、セキュリティバイパスの可能性 [eap-7.1.z] (CVE-2020-1757)

    * undertow: HTTPS でリッスンしている Undertow HTTP サーバーでのサービス拒否 (DoS) の可能性 [eap-7.1.z] (CVE-2019-14888)

    * log4j: チェーンソーログビューアーの安全でない逆シリアル化の欠陥 [eap-7.1.z] (CVE-2022-23307)

    * netty: HttpObjectDecoder.java が、Content-Length ヘッダーに 2 つ目の Content-Length ヘッダーを付加できる [eap-7.1.z]（CVE-2019-20445）

    * log4j: アプリケーションが JMSAppender を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2021-4104)

    * undertow: HTTP/2: SETTINGS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core: infinispan: ReflectionUtil クラスの invokeAccessibly メソッドを使用して、プライベートメソッドを呼び出すことが可能 [eap-7.1.z] (CVE-2019-10174)

    * log4j: アプリケーションが JDBCAppender を使用するように設定されているときの Log4j 1.xでの SQL インジェクション [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind: logback-core クラスを多態的な逆シリアル化からブロックできないことによる、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager: セキュリティマネージャーの認証バイパス (CVE-2019-14843)

    * HTTP/2: PING フレームを使用したフラッドにより、メモリが無制限に増加する (CVE-2019-9512)

    * netty: HTTP ヘッダーでコロンの前の空白を適切に処理しないことによる HTTP リクエストスマグリング (CVE-2019-16869)

    * jackson-databind: org.apache.log4j.receivers.db.* でのシリアル化ガジェット (CVE-2019-17531)

    * netty: HTTP リクエストスマグリング (CVE-2019-20444)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
137334	RHEL 8: Red Hat JBoss Enterprise Application Platform 7.3.1 セキュリティ更新プログラム（重要）（RHSA-2020: 2513)	Nessus	Red Hat Local Security Checks	2020/6/11	2024/11/7	critical
137333	RHEL 7: Red Hat JBoss Enterprise Application Platform 7.3.1 セキュリティ更新プログラム（重要）（RHSA-2020: 2512)	Nessus	Red Hat Local Security Checks	2020/6/11	2024/11/7	critical
251597	Linux Distros のパッチ未適用の脆弱性: CVE-2020-1757	Nessus	Misc.	2025/8/18	2025/10/14	high
136498	RHEL 7: RHEL 7上のRed Hat JBoss Enterprise Application Platform 7.2.8 （RHSA-2020: 2059)	Nessus	Red Hat Local Security Checks	2020/5/12	2024/11/7	critical
137331	RHEL 6: Red Hat JBoss Enterprise Application Platform 7.3.1 セキュリティ更新プログラム（重要）（RHSA-2020: 2511)	Nessus	Red Hat Local Security Checks	2020/6/11	2024/11/7	critical
136494	RHEL 6：RHEL 6上のRed Hat JBoss Enterprise Application Platform 7.2.8 （RHSA-2020: 2058)	Nessus	Red Hat Local Security Checks	2020/5/12	2024/11/8	critical
136495	RHEL 8: RHEL 8上のRed Hat JBoss Enterprise Application Platform 7.2.8 （RHSA-2020: 2060)	Nessus	Red Hat Local Security Checks	2020/5/12	2024/11/7	critical
206210	RHEL 7 : RHEL 7 上の Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	2024/8/26	2024/11/7	critical

検出

プラグインの検索

critical

critical

high

critical

critical

critical

critical

critical