リモート Redhat Enterprise Linux 10 ホストに、RHSA-2026:70230 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 8 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 8.1.8 のこのリリースは、Red Hat JBoss Enterprise Application Platform 8.1.7 に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 8.1.8 リリースノート』を参照してください。

    セキュリティ修正:

    * jackson-core: jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * netty-codec-http2:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-handler:Netty:OpenSSL クライアントパスの構成ミスによるTLSホスト名検証のバイパス [eap-8.1.z](CVE-2026-62243)

    * bcpg-jdk18on:Bouncy Castle for Java:OpenPGP ユーザー属性サブパケット長が際限のないことによるサービス拒否 [eap-8.1.z](CVE-2026-59649)

    * jackson-databind: jackson-databind:無視されたプロパティが予期せず変更される可能性があります [eap-8.1.z](CVE-2026-54515)

    * jackson-databind:jackson-databind:@JsonUnwrappedプロパティの不適切な処理による権限昇格[eap-8.1.z](CVE-2026-59889)

    * netty-codec-dns:netty:無効な形式のドメイン名を持つ DNS Record デコーダーでのメモリリークによるサービス拒否 [eap-8.1.z](CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * bcprov-jdk18on:無限の PGP AEAD チャンクサイズが事前認証リソースの枯渇につながります [eap-8.1.z](CVE-2026-3505)

    * brace-expansion: brace-expansion:無限の中間配列によるサービス拒否 [eap-8.1.z](CVE-2026-69152)

    * netty-codec-http: Netty:netty-codec-http でのメモリ枯渇(展開爆弾)[eap-8.1.z](CVE-2026-59899)

    * netty-codec-http:Netty:セキュリティコントロールバイパスにより、NULL 生成元ヘッダーを介した認証されていないリクエストが可能 [eap-8.1.z](CVE-2026-56746)

    * netty-codec-http:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-codec-http:Netty:SPDY SETTINGS フレーム処理によるサービス拒否 [eap-8.1.z](CVE-2026-55831)

    * netty-codec-http:Netty:SPDY ヘッダー展開増幅によるサービス拒否 [eap-8.1.z](CVE-2026-55833)

    * jackson-databind:jackson-databind:セキュリティバイパスにより任意のコードが実行される可能性があります[eap-8.1.z](CVE-2026-54513)

    * jackson-databind: jackson-databind:PolymorphicTypeValidator バイパスによる任意のコードの実行 [eap-8.1.z](CVE-2026-54512)

    * undertow-core:オーバーサイズチャンクサイズのビットオーバーラップを介した Undertow:HTTP リクエストスマグリング [eap-8.1.z](CVE-2026-14180)

    * artemis-server: artemis-server:channel0 の CORE SUBSCRIBE_TOPOLOGY_V2を介した事前認証トポロジー漏洩 [eap-8.1.z](CVE-2026-49363)

    * undertow-websockets-jsr:undertow:任意の @OnMessage メソッドで @ServerEndpoint クラスを持つ websocket エンドポイントでの事前認証 DoS [eap-8.1.z](CVE-2026-15565)

    * wildfly-iiop-openjdk:Wildfly:IIOP リスナーでの事前認証のサービス拒否 [eap-8.1.z](CVE-2026-15567)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成による任意のコードの実行 [eap-8.1.z](CVE-2026-50632)

    * cxf-core:Apache CXF:JAXP 堅牢化がないことによる帯域外外部エンティティ解決を介した情報漏洩 [eap-8.1.z](CVE-2026-49875)

    * wildfly-elytron-asn1:細工された DER ペイロードを介した WildFly Elytron ASN.1 DERDecoder における際限のないメモリ割り当て [eap-8.1.z](CVE-2026-10832)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成によるリモートコード実行 [eap-8.1.z](CVE-2026-44417)

    * wildfly-elytron-realm-token:EAP の elytron oauth2 でのパラメーターインジェクション [eap-8.1.z](CVE-2026-85511)

    * jakarta.faces:mojarra:ui:include での EL インジェクションによる、EAP JSF アプリケーションにおける認証されていない RCE [eap-8.1.z](CVE-2026-46581)

    * wildfly-iiop-openjdk:EAP の IIOP NameService に認証がないことが、MITM または DoS につながります [eap-8.1.z](CVE-2026-15563)

    * jboss-remoting:jboss-remoting:MessageReader の整数オーバーフローにより、事前認証のサービス拒否が発生します [eap-8.1.z](CVE-2026-15562)

    * undertow-core:EAP の Undertow におけるチャンクトレーラーの制限の欠如による OOM [eap-8.1.z](CVE-2026-15561)

    * openjdk-orb:EAP の IIOP 経由の認証されていないクラス読み込み [eap-8.1.z](CVE-2026-15560)

    * artemis-server:認証の欠如による Artemis セッションハイジャックのApache [eap-8.1.z](CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling:フィルタリングされていない River Unmarshaller を介した Jboss の逆シリアル化 RCE [eap-8.1.z](CVE-2026-15555)

    * undertow-core:Undertow:AJP ssl_cert/is_ssl 偽造を介した認証バイパス [eap-8.1.z](CVE-2026-15554)

    * jgroups:JGroupsのなりすましによるArtemisクラスタパスワードの漏えい[EAP-8.1.z](CVE-2026-49364)

    * artemis-server:artemis コアプロトコルにより、認証されていないキュー作成が許可されます [eap-8.1.z](CVE-2026-49362)

    * artemis-server:Red Hat EAP の artemis メッセージングハンドラーは、デフォルトで逆シリアル化を許可します [eap-8.1.z](CVE-2026-86404)

    * undertow-core:Undertow:WebSocket permessage-deflate 処理によるサービス拒否 [eap-8.1.z](CVE-2026-5680)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行されているAtlassian Jira Service Management Data Center and Server(Jira Service Desk)のバージョンは、JSDSERVER-16789のアドバイザリに記載されている脆弱性の影響を受けます。

  - 4.2.0.Final から 4.2.16.Final までのバージョンの Netty(io.netty:netty-handler)と 4.1.136.Final までのバージョンでは、プレーンな(非拡張TLS X509TrustManager が使用され、安全でないベースのトラストマネージャーラッピングが利用できない場合に、SslProvider.OPENSSL クライアントパスでホスト名の検証を無効にします(Java 25+)。この構成では、OpenSSL クライアントはホスト名の検証を実行しないため、中間攻撃者が、検証なしで受け入れられた異なるホスト名に対して発行された証明書を提示することが可能です。
    4.2.17.Final および 4.1.137.Final で修正されました。(CVE-2026-62243)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストで実行されているAtlassian Confluence Serverのバージョンは、CONFSERVER-104506アドバイザリに記載されている脆弱性の影響を受けます。

  - 4.2.0.Final から 4.2.16.Final までのバージョンの Netty(io.netty:netty-handler)と 4.1.136.Final までのバージョンでは、プレーンな(非拡張TLS X509TrustManager が使用され、安全でないベースのトラストマネージャーラッピングが利用できない場合に、SslProvider.OPENSSL クライアントパスでホスト名の検証を無効にします(Java 25+)。この構成では、OpenSSL クライアントはホスト名の検証を実行しないため、中間攻撃者が、検証なしで受け入れられた異なるホスト名に対して発行された証明書を提示することが可能です。
    4.2.17.Final および 4.1.137.Final で修正されました。(CVE-2026-62243)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2026:70228 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 8 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 8.1.8 のこのリリースは、Red Hat JBoss Enterprise Application Platform 8.1.7 に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 8.1.8 リリースノート』を参照してください。

    セキュリティ修正:

    * jackson-core: jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * netty-codec-http2:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-handler:Netty:OpenSSL クライアントパスの構成ミスによるTLSホスト名検証のバイパス [eap-8.1.z](CVE-2026-62243)

    * bcpg-jdk18on:Bouncy Castle for Java:OpenPGP ユーザー属性サブパケット長が際限のないことによるサービス拒否 [eap-8.1.z](CVE-2026-59649)

    * jackson-databind: jackson-databind:無視されたプロパティが予期せず変更される可能性があります [eap-8.1.z](CVE-2026-54515)

    * jackson-databind:jackson-databind:@JsonUnwrappedプロパティの不適切な処理による権限昇格[eap-8.1.z](CVE-2026-59889)

    * netty-codec-dns:netty:無効な形式のドメイン名を持つ DNS Record デコーダーでのメモリリークによるサービス拒否 [eap-8.1.z](CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * bcprov-jdk18on:無限の PGP AEAD チャンクサイズが事前認証リソースの枯渇につながります [eap-8.1.z](CVE-2026-3505)

    * brace-expansion: brace-expansion:無限の中間配列によるサービス拒否 [eap-8.1.z](CVE-2026-69152)

    * netty-codec-http: Netty:netty-codec-http でのメモリ枯渇(展開爆弾)[eap-8.1.z](CVE-2026-59899)

    * netty-codec-http:Netty:セキュリティコントロールバイパスにより、NULL 生成元ヘッダーを介した認証されていないリクエストが可能 [eap-8.1.z](CVE-2026-56746)

    * netty-codec-http:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-codec-http:Netty:SPDY SETTINGS フレーム処理によるサービス拒否 [eap-8.1.z](CVE-2026-55831)

    * netty-codec-http:Netty:SPDY ヘッダー展開増幅によるサービス拒否 [eap-8.1.z](CVE-2026-55833)

    * jackson-databind:jackson-databind:セキュリティバイパスにより任意のコードが実行される可能性があります[eap-8.1.z](CVE-2026-54513)

    * jackson-databind: jackson-databind:PolymorphicTypeValidator バイパスによる任意のコードの実行 [eap-8.1.z](CVE-2026-54512)

    * undertow-core:オーバーサイズチャンクサイズのビットオーバーラップを介した Undertow:HTTP リクエストスマグリング [eap-8.1.z](CVE-2026-14180)

    * artemis-server: artemis-server:channel0 の CORE SUBSCRIBE_TOPOLOGY_V2を介した事前認証トポロジー漏洩 [eap-8.1.z](CVE-2026-49363)

    * undertow-websockets-jsr:undertow:任意の @OnMessage メソッドで @ServerEndpoint クラスを持つ websocket エンドポイントでの事前認証 DoS [eap-8.1.z](CVE-2026-15565)

    * wildfly-iiop-openjdk:Wildfly:IIOP リスナーでの事前認証のサービス拒否 [eap-8.1.z](CVE-2026-15567)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成による任意のコードの実行 [eap-8.1.z](CVE-2026-50632)

    * cxf-core:Apache CXF:JAXP 堅牢化がないことによる帯域外外部エンティティ解決を介した情報漏洩 [eap-8.1.z](CVE-2026-49875)

    * wildfly-elytron-asn1:細工された DER ペイロードを介した WildFly Elytron ASN.1 DERDecoder における際限のないメモリ割り当て [eap-8.1.z](CVE-2026-10832)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成によるリモートコード実行 [eap-8.1.z](CVE-2026-44417)

    * wildfly-elytron-realm-token:EAP の elytron oauth2 でのパラメーターインジェクション [eap-8.1.z](CVE-2026-85511)

    * jakarta.faces:mojarra:ui:include での EL インジェクションによる、EAP JSF アプリケーションにおける認証されていない RCE [eap-8.1.z](CVE-2026-46581)

    * wildfly-iiop-openjdk:EAP の IIOP NameService に認証がないことが、MITM または DoS につながります [eap-8.1.z](CVE-2026-15563)

    * jboss-remoting:jboss-remoting:MessageReader の整数オーバーフローにより、事前認証のサービス拒否が発生します [eap-8.1.z](CVE-2026-15562)

    * undertow-core:EAP の Undertow におけるチャンクトレーラーの制限の欠如による OOM [eap-8.1.z](CVE-2026-15561)

    * openjdk-orb:EAP の IIOP 経由の認証されていないクラス読み込み [eap-8.1.z](CVE-2026-15560)

    * artemis-server:認証の欠如による Artemis セッションハイジャックのApache [eap-8.1.z](CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling:フィルタリングされていない River Unmarshaller を介した Jboss の逆シリアル化 RCE [eap-8.1.z](CVE-2026-15555)

    * undertow-core:Undertow:AJP ssl_cert/is_ssl 偽造を介した認証バイパス [eap-8.1.z](CVE-2026-15554)

    * jgroups:JGroupsのなりすましによるArtemisクラスタパスワードの漏えい[EAP-8.1.z](CVE-2026-49364)

    * artemis-server:artemis コアプロトコルにより、認証されていないキュー作成が許可されます [eap-8.1.z](CVE-2026-49362)

    * artemis-server:Red Hat EAP の artemis メッセージングハンドラーは、デフォルトで逆シリアル化を許可します [eap-8.1.z](CVE-2026-86404)

    * undertow-core:Undertow:WebSocket permessage-deflate 処理によるサービス拒否 [eap-8.1.z](CVE-2026-5680)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4391-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-59902:netty:SctpMessageCompletionHandler でのメモリ枯渇(bsc#1275501)。
    - CVE-2026-59903:Netty は、CORS Vary ヘッダーの上書きを介したキャッシュポイズニングと情報漏洩に対して脆弱です(bsc#1275500)。
    - CVE-2026-62243:Netty OpenSSL クライアントパスのホスト名検証バイパスをTLSします(bsc#1276455)。
    - CVE-2026-62380:Socks4ClientEncoder および Socks5ClientEncoder における null バイトおよび CRLF インジェクション(bsc#1276456)。
    - CVE-2026-75595:「ClientHello」TLSフラグメント化すると、デフォルトの「SslContext」へのフォールバックが引き起こされ、SNI ルーティングと mTLS 要件バイパスが可能になります(bsc#1276420)。
    - CVE-2026-75596:断片化した「ClientHello」レコードにより、デフォルトの SNI 解析で二次ハンドシェイク前の再アセンブリが発生する可能性があります(bsc#1276421)。
    - CVE-2026-76816:「MqttEncoder」に入力検証がないため、null バイトインジェクション、トピックハイジャック、および ACL バイパスが可能になります(bsc#1277243)。
    - CVE-2026-89044:最終的な Transfer-Encoding コーディング(bsc#1280048)の不適切な検証を介した、Netty におけるリクエストスマグリングをHTTPします。
    - CVE-2026-93488:制限のない同時 SPDY ストリームによるサービス拒否(bsc#1282084)。
    - CVE-2026-93491:制限のない HttpServerCodec HTTP/1.1 パイプラインキューによるサービス拒否(bsc#1282085)。
    - CVE-2026-93492:大きなテーブルサイズによる HTTP/2 HpackEncoder DoS(bsc#1282132)。
    - CVE-2026-93493:OCSP 応答に「nextUpdate」フィールドがないため、サイレント検証バイパスが発生します(bsc#1281431)。
    - CVE-2026-93494:フレーム本体が決して終了しない場合の StompSubframeDecoder の ByteBuf 漏洩(bsc#1282506)。
    - CVE-2026-93558:WebSocketServerExtensionHandler の接続ごとのキューの無制限の増加が、サービス拒否(bsc#1282140)につながります。
    - CVE-2026-93560:STOMP コーデックの content-length の long-to-int 切り捨てにより、無限デコードループの DoS が発生します(bsc#1282141)。
    - CVE-2026-93562:無効な形式の Transfer-Encoding の不完全な検証により、HTTPリクエストのスマグリングが可能です(bsc#1282362)。
    - CVE-2026-93563:「SmtpResponseDecoder」の際限のない複数行の応答の蓄積が、メモリ枯渇と DoS を引き起こします(bsc#1281432)。
    - CVE-2026-93564:HAProxy PROXY-v2 nested-TLV の孫 ByteBuf 参照カウントの漏洩(bsc#1282363)。
    - CVE-2026-93565:末尾のコントロールバイトを介した RtspDecoder メソッドトークンのスマグリング(bsc#1282364)。
    - CVE-2026-93566:チャンクサイズ行の制御文字によるリクエストスマグリングをHTTPします(bsc#1282366)。
    - CVE-2026-93567:HTTP/1 authority-form CONNECT が、Host-controlled:authority(bsc#1282367)により無効な形式の HTTP/2 CONNECT に変換されます。
    - CVE-2026-93568:HTTP/2 および HTTP/3 の拡張 CONNECT リクエストは、通常の CONNECT リクエストとしてダウングレードされます(bsc#1282370)。
    - CVE-2026-93569:HTTP/1 絶対形式のホストの不一致は HTTP/2 :authority に変換され、request-target authority(bsc#1282372)をオーバーライドします。
    - CVE-2026-93572:「RedisArrayAggregator」ネスト化 RESP ヘッダーでパッチ済みの事前割り当て限度を倍増させることで、サービス拒否が発生する可能性があります(bsc#1281433)。
    - CVE-2026-93573:無効な形式の Transfer-Encoding の不完全な検証により、HTTPリクエストのスマグリングが可能です(bsc#1282373)。
    - CVE-2026-93574:チャンクサイズ解析で、ポストディジットの空白を介したリクエストスマグリングをHTTPします(bsc#1282374)。
    - CVE-2026-93575:「MqttDecoder」に検証がないと、過剰なリソース消費と DoS につながる可能性があります(bsc#1281434)。
    - CVE-2026-93576:netty-codec-smtp -- SMTP command-name フィールドが CRLF 検証されていません(bsc#1282507)。
    - CVE-2026-93578:OCSP クライアントでの拡張鍵使用法(EKU)チェックの欠落により、証明書失効バイパス(bsc#1281435)が可能です。
    - CVE-2026-93579:HTTP/2 ヘッダーフィールドの値がデフォルトで検証されません(bsc#1282378)。

    netty の変更: 

    - アップストリームバージョン 4.1.138 にアップグレード

    netty-tcnative に対する変更:

    - バージョン 2.0.84 Final にアップグレードしてください

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.2.0.Final から 4.2.16.Final までのバージョンの Netty(io.netty:netty-handler)と 4.1.136.Final までのバージョンでは、プレーンな(非拡張TLS X509TrustManager が使用され、安全でないベースのトラストマネージャーラッピングが利用できない場合に、SslProvider.OPENSSL クライアントパスでホスト名の検証を無効にします(Java 25+)。この構成では、OpenSSL クライアントはホスト名の検証を実行しないため、中間攻撃者が、検証なしで受け入れられた異なるホスト名に対して発行された証明書を提示することが可能です。
    4.2.17.Final および 4.1.137.Final で修正されました。(CVE-2026-62243)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2026:70229 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 8 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 8.1.8 のこのリリースは、Red Hat JBoss Enterprise Application Platform 8.1.7 に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 8.1.8 リリースノート』を参照してください。

    セキュリティ修正:

    * jackson-core: jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * netty-codec-http2:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-handler:Netty:OpenSSL クライアントパスの構成ミスによるTLSホスト名検証のバイパス [eap-8.1.z](CVE-2026-62243)

    * bcpg-jdk18on:Bouncy Castle for Java:OpenPGP ユーザー属性サブパケット長が際限のないことによるサービス拒否 [eap-8.1.z](CVE-2026-59649)

    * jackson-databind: jackson-databind:無視されたプロパティが予期せず変更される可能性があります [eap-8.1.z](CVE-2026-54515)

    * jackson-databind:jackson-databind:@JsonUnwrappedプロパティの不適切な処理による権限昇格[eap-8.1.z](CVE-2026-59889)

    * netty-codec-dns:netty:無効な形式のドメイン名を持つ DNS Record デコーダーでのメモリリークによるサービス拒否 [eap-8.1.z](CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * bcprov-jdk18on:無限の PGP AEAD チャンクサイズが事前認証リソースの枯渇につながります [eap-8.1.z](CVE-2026-3505)

    * brace-expansion: brace-expansion:無限の中間配列によるサービス拒否 [eap-8.1.z](CVE-2026-69152)

    * netty-codec-http: Netty:netty-codec-http でのメモリ枯渇(展開爆弾)[eap-8.1.z](CVE-2026-59899)

    * netty-codec-http:Netty:セキュリティコントロールバイパスにより、NULL 生成元ヘッダーを介した認証されていないリクエストが可能 [eap-8.1.z](CVE-2026-56746)

    * netty-codec-http:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-codec-http:Netty:SPDY SETTINGS フレーム処理によるサービス拒否 [eap-8.1.z](CVE-2026-55831)

    * netty-codec-http:Netty:SPDY ヘッダー展開増幅によるサービス拒否 [eap-8.1.z](CVE-2026-55833)

    * jackson-databind:jackson-databind:セキュリティバイパスにより任意のコードが実行される可能性があります[eap-8.1.z](CVE-2026-54513)

    * jackson-databind: jackson-databind:PolymorphicTypeValidator バイパスによる任意のコードの実行 [eap-8.1.z](CVE-2026-54512)

    * undertow-core:オーバーサイズチャンクサイズのビットオーバーラップを介した Undertow:HTTP リクエストスマグリング [eap-8.1.z](CVE-2026-14180)

    * artemis-server: artemis-server:channel0 の CORE SUBSCRIBE_TOPOLOGY_V2を介した事前認証トポロジー漏洩 [eap-8.1.z](CVE-2026-49363)

    * undertow-websockets-jsr:undertow:任意の @OnMessage メソッドで @ServerEndpoint クラスを持つ websocket エンドポイントでの事前認証 DoS [eap-8.1.z](CVE-2026-15565)

    * wildfly-iiop-openjdk:Wildfly:IIOP リスナーでの事前認証のサービス拒否 [eap-8.1.z](CVE-2026-15567)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成による任意のコードの実行 [eap-8.1.z](CVE-2026-50632)

    * cxf-core:Apache CXF:JAXP 堅牢化がないことによる帯域外外部エンティティ解決を介した情報漏洩 [eap-8.1.z](CVE-2026-49875)

    * wildfly-elytron-asn1:細工された DER ペイロードを介した WildFly Elytron ASN.1 DERDecoder における際限のないメモリ割り当て [eap-8.1.z](CVE-2026-10832)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成によるリモートコード実行 [eap-8.1.z](CVE-2026-44417)

    * wildfly-elytron-realm-token:EAP の elytron oauth2 でのパラメーターインジェクション [eap-8.1.z](CVE-2026-85511)

    * jakarta.faces:mojarra:ui:include での EL インジェクションによる、EAP JSF アプリケーションにおける認証されていない RCE [eap-8.1.z](CVE-2026-46581)

    * wildfly-iiop-openjdk:EAP の IIOP NameService に認証がないことが、MITM または DoS につながります [eap-8.1.z](CVE-2026-15563)

    * jboss-remoting:jboss-remoting:MessageReader の整数オーバーフローにより、事前認証のサービス拒否が発生します [eap-8.1.z](CVE-2026-15562)

    * undertow-core:EAP の Undertow におけるチャンクトレーラーの制限の欠如による OOM [eap-8.1.z](CVE-2026-15561)

    * openjdk-orb:EAP の IIOP 経由の認証されていないクラス読み込み [eap-8.1.z](CVE-2026-15560)

    * artemis-server:認証の欠如による Artemis セッションハイジャックのApache [eap-8.1.z](CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling:フィルタリングされていない River Unmarshaller を介した Jboss の逆シリアル化 RCE [eap-8.1.z](CVE-2026-15555)

    * undertow-core:Undertow:AJP ssl_cert/is_ssl 偽造を介した認証バイパス [eap-8.1.z](CVE-2026-15554)

    * jgroups:JGroupsのなりすましによるArtemisクラスタパスワードの漏えい[EAP-8.1.z](CVE-2026-49364)

    * artemis-server:artemis コアプロトコルにより、認証されていないキュー作成が許可されます [eap-8.1.z](CVE-2026-49362)

    * artemis-server:Red Hat EAP の artemis メッセージングハンドラーは、デフォルトで逆シリアル化を許可します [eap-8.1.z](CVE-2026-86404)

    * undertow-core:Undertow:WebSocket permessage-deflate 処理によるサービス拒否 [eap-8.1.z](CVE-2026-5680)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
348794	RHEL 10:Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70230)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/30	high
367880	Atlassian Jira Service Management Data Center and Server 5.9.x < 10.3.25 / 10.4.x < 11.3.11 (JSDSERVER-16789)	Nessus	Misc.	2026/10/20	2026/10/30	high
368960	Atlassian Confluence < 9.2.26 / 9.3.x < 10.2.19 / 11.0.0 (CONFSERVER-104506)	Nessus	CGI abuses	2026/10/21	2026/10/30	high
348800	RHEL 8 : Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70228)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/30	high
351404	SUSE SLED15 / SLES15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2026:4391-1)	Nessus	SuSE Local Security Checks	2026/9/30	2026/9/30	critical
338930	Linux Distros のパッチ未適用の脆弱性: CVE-2026-62243	Nessus	Misc.	2026/8/22	2026/10/29	high
348793	RHEL 9 : Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70229)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/30	high

検出

プラグインの検索

high

high

high

high

critical

high

high