リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:5144 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.4.18のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.4.17に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.4.18 リリースノート』を参照してください。

    セキュリティ修正プログラム:

    * undertow: Java 17 TLSv1.3 NewSessionTicket の場合、応答書き込みがハングアップします [eap-7.4.z] (CVE-2024-5971)

    * undertow: LearningPushHandler がリモートメモリ DoS 攻撃につながる可能性があります [eap-7.4.z] (CVE-2024-3653)

    * org.bouncycastle-bcprov-jdk18on: Bleichenbacher のタイミングバリアントに対して脆弱な BouncyCastle (Marvin Attack 氏) [eap-7.4.z] (CVE-2024-30171)

    * org.bouncycastle:bcprov-jdk18on: org.bouncycastle: 細工された F2m パラメーターを含む EC 証明書をインポートすると、サービス拒否が発生する可能性 [eap-7.4.z] (CVE-2024-29857)

    * netty-codec-http: 制限またはスロットリングなしのリソース割り当て [eap-7.4.z] (CVE-2024-29025)

    * org.bouncycastle:bcprov-jdk18on: ScalarUtil クラスの検証での無限ループ ED25519 [eap-7.4.z] (CVE-2024-30172)

    * HTTP-2: httpd: CONTINUATION フレームの DoS [eap-7.4.z] (CVE-2024-27316)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 10 ホストには、dla-3834 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3834-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2024 年 6 月 21 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ: netty バージョン: 1:4.1.33-1+deb10u5 CVE ID: CVE-2024-29025 Debian バグ: 1068110

    Julien Viet 氏は、Java NIO クライアント/サーバーソケットフレームワークである Netty が、HttpPostRequestDecoder にデータが蓄積するため、制限のないリソース割り当てまたはスロットリングに対して脆弱であることを発見しました。これにより、攻撃者がサービス拒否を引き起こす可能性があります。

    Debian 10 buster では、この問題はバージョン 1:4.1.33-1+deb10u5 で修正されています。

    お使いの netty パッケージをアップグレードすることを推奨します。

    netty の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/netty

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2024:5143 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.4.18のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.4.17に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.4.18 リリースノート』を参照してください。

    セキュリティ修正プログラム:

    * undertow: Java 17 TLSv1.3 NewSessionTicket の場合、応答書き込みがハングアップします [eap-7.4.z] (CVE-2024-5971)

    * undertow: LearningPushHandler がリモートメモリ DoS 攻撃につながる可能性があります [eap-7.4.z] (CVE-2024-3653)

    * org.bouncycastle-bcprov-jdk18on: Bleichenbacher のタイミングバリアントに対して脆弱な BouncyCastle (Marvin Attack 氏) [eap-7.4.z] (CVE-2024-30171)

    * org.bouncycastle:bcprov-jdk18on: org.bouncycastle: 細工された F2m パラメーターを含む EC 証明書をインポートすると、サービス拒否が発生する可能性 [eap-7.4.z] (CVE-2024-29857)

    * netty-codec-http: 制限またはスロットリングなしのリソース割り当て [eap-7.4.z] (CVE-2024-29025)

    * org.bouncycastle:bcprov-jdk18on: ScalarUtil クラスの検証での無限ループ ED25519 [eap-7.4.z] (CVE-2024-30172)

    * HTTP-2: httpd: CONTINUATION フレームの DoS [eap-7.4.z] (CVE-2024-27316)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 6 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは脆弱性の影響を受けます。この脆弱性はベンダーによって認識されていますが、パッチが適用されません。

  - netty-codec-http: 制限またはスロットリングなしのリソース割り当て (CVE-2024-29025)

Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。

リモートホストにインストールされている Coherence のバージョン 12.2.1.4.0 および 14.1.1.0.0 は、2024 年 7 月の CPU のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Fusion Middleware の Oracle Coherence 製品の脆弱性 (コンポーネント: サードパーティ (Eclipse Jetty))。
    サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP/2 を介してネットワークにアクセスし、Oracle Coherence を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、権限なしで Oracle Coherence をハングさせたり、頻繁に繰り返しクラッシュさせたりする (完全な DOS) 可能性があります。(CVE-2024-22201)

  - Oracle Fusion Middleware の Oracle Coherence 製品の脆弱性 (コンポーネント: サードパーティ (Netty))。サポートされているバージョンで影響を受けるのは、12.2.1.4.0 および 14.1.1.0.0です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を介してネットワークにアクセスし、Oracle Coherence を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Coherence の部分的なサービス拒否 (部分的な DOS) が権限なしで引き起こされる可能性があります。(CVE-2024-29025)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2313-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-29025: フォームフィールドが多すぎるため、HttpPostRequestDecoder がメモリ不足になる可能性を修正しました (bsc#1222045)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15/ SLED_SAP15 / SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:1079-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Netty はメンテナンス可能な高性能プロトコルサーバーおよびクライアントの迅速な開発のための非同期イベント駆動型ネットワークアプリケーションフレームワークです。「HttpPostRequestDecoder」が騙されて、データを蓄積する可能性があります。デコーダーは設定されている場合、アイテムをディスクに保存できますが、フォームが保持できるフィールド数に制限はありません。アタッチャーは「bodyListHttpData」リストに蓄積される多数の小さなフィールドで構成されるチャンク投稿を送信できます。デコーダーは、フィールドをデコードできるようになるまで「undecodedChunk」バッファにバイトを蓄積します。このフィールドは無制限にデータを蓄積できます。この脆弱性は 4.1.108.Final で修正されています。(CVE-2024-29025)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2024:5145 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.4.18のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.4.17に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.4.18 リリースノート』を参照してください。

    セキュリティ修正プログラム:

    * undertow: Java 17 TLSv1.3 NewSessionTicket の場合、応答書き込みがハングアップします [eap-7.4.z] (CVE-2024-5971)

    * undertow: LearningPushHandler がリモートメモリ DoS 攻撃につながる可能性があります [eap-7.4.z] (CVE-2024-3653)

    * org.bouncycastle-bcprov-jdk18on: Bleichenbacher のタイミングバリアントに対して脆弱な BouncyCastle (Marvin Attack 氏) [eap-7.4.z] (CVE-2024-30171)

    * org.bouncycastle:bcprov-jdk18on: org.bouncycastle: 細工された F2m パラメーターを含む EC 証明書をインポートすると、サービス拒否が発生する可能性 [eap-7.4.z] (CVE-2024-29857)

    * netty-codec-http: 制限またはスロットリングなしのリソース割り当て [eap-7.4.z] (CVE-2024-29025)

    * org.bouncycastle:bcprov-jdk18on: ScalarUtil クラスの検証での無限ループ ED25519 [eap-7.4.z] (CVE-2024-30172)

    * HTTP-2: httpd: CONTINUATION フレームの DoS [eap-7.4.z] (CVE-2024-27316)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
205219	RHEL 8 : Red Hat JBoss Enterprise Application Platform 7.4.18 Security の更新 (重要) (RHSA-2024:5144)	Nessus	Red Hat Local Security Checks	2024/8/8	2024/8/8	high
200859	Debian dla-3834: libnetty-java - セキュリティ更新	Nessus	Debian Local Security Checks	2024/6/22	2024/6/22	medium
205218	RHEL 7 : Red Hat JBoss Enterprise Application Platform 7.4.18 Security の更新 (重要) (RHSA-2024:5143)	Nessus	Red Hat Local Security Checks	2024/8/8	2024/8/8	high
200858	RHEL 6: netty-codec-http (パッチ未適用の脆弱性)	Nessus	Red Hat Local Security Checks	2024/6/22	2024/6/22	medium
202702	Oracle Coherence (2024 年 7 月 CPU)	Nessus	Misc.	2024/7/19	2024/7/22	high
201999	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: netty3 (SUSE-SU-2024:2313-1)	Nessus	SuSE Local Security Checks	2024/7/9	2024/7/12	medium
192879	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2024:1079-1)	Nessus	SuSE Local Security Checks	2024/4/3	2024/4/3	medium
205220	RHEL 9 : Red Hat JBoss Enterprise Application Platform 7.4.18 Security の更新 (重要) (RHSA-2024:5145)	Nessus	Red Hat Local Security Checks	2024/8/8	2024/8/8	high

検出

プラグインの検索

high

medium

high

medium

high

medium

medium

high