複数のセキュリティ問題と複数のバグが修正される拡張機能が追加された更新済みの JBoss Enterprise Application Platform（JBEAP 4.2）パッケージが、JBEAP 4.2.0.CP08 として Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 4 の JBEAP のリリースは、 JBEAP 4.2.0.CP07 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されているバグ修正と拡張機能が含まれています。また、間もなく次の URL からアクセスできるようになります。
http://www.redhat.com/docs/en-US/JBoss_Enterprise_Application_Platform/

このリリースでは、次のセキュリティ問題も修正されます：

xml-security に、HMAC ベースの XML 署名の切り捨て形式の推奨最短長の確認の欠如が見つかりました。攻撃者が、この欠陥を利用して、XML 署名を偽造する特別に細工された XML ファイルを作成することが可能です。これにより、攻撃者が XML 署名仕様に基づく認証をバイパスすることが可能です。
(CVE-2009-0217)

Swatej Kumar 氏は、JBoss Application Server Web Console に、クロスサイトスクリプティング（XSS）の欠陥を発見しました。攻撃者はこれらの欠陥を利用して認証されていないユーザーへ誤解を招く情報を表示するができます。または、認証されていないユーザーのブラウザセッションのコンテキストで任意のスクリプティングコードを実行させることができます。(CVE-2009-2405)

Apache Xerces2 Java Parser が DTD のシステム識別子を処理したやり方で欠陥が見つかりました。リモートの攻撃者は、Apache Xerces2 Java パーサーを使用するプリケーションによって解析されるとサービス拒否（過度な CPU の使用によるアプリケーションのハングアップ）につながる可能性のある、特別に細工された XML ファイルを送りつけることがあります。(CVE-2009-2625)

twiddle コマンドラインクライアントに情報漏洩の欠陥が見つかりました。
JMX パスワードは、「twiddle.log」に対してプレーンテキストで保存されていました。
(CVE-2009-3554)

JMX Console に、XSS の欠陥が見つかりました。攻撃者はこの欠陥を利用して認証されていないユーザーへ誤解を招く情報を表示するができます。または、認証されていないユーザーのブラウザセッションのコンテキストで任意のスクリプティングコードを実行させることができます。(CVE-2009-1380)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 4 上の JBEAP 4.2 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

Java 用 XML パーサーを検証する libxerces2-java は、無効な形式の XML ファイルを適切に処理していないことが判明しました。この脆弱性により、攻撃者は、無効な形式の XML ファイルを解析する際に、サービス拒否を引き起こすことができる場合があります。

1 つのセキュリティ問題とさまざまなバグを修正する更新済みの jasperreports-server-pro パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

JasperReports Server は、レポートサーバーです。

Apache Xerces2 Java Parser が DTD のシステム識別子を処理したやり方で欠陥が見つかりました。リモートの攻撃者は、Apache Xerces2 Java パーサーを使用するプリケーションによって解析されるとサービス拒否（過度な CPU の使用によるアプリケーションのハングアップ）につながる可能性のある、特別に細工された XML ファイルを送りつけることがあります。（CVE-2009-2625）

この更新は以下のバグも修正します：

* 任意のロールにユーザーを追加すると、予想外の例外が引き起こされました。
（BZ#730712）

* これまでは、jasperreports-server-pro RPM の仕様ファイルの｢Release｣行に｢%{dist}｣タグが含まれていました。パッケージやネーミングのガイドラインに適合するために、この更新でタグが｢%{?dist}｣に変更されました。（BZ#868927）

* 状況によっては、レポートが正しくないエンティティのリストで開かれることがありました。（BZ#842687）

-ji ha 注：jasperreports-server-pro パッケージは、Red Hat Enterprise Virtualization Manager 3.0 の rhevm-reports-server に取って替わります。

ユーザーは、この更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Oracle Fusion MiddlewareのOracle WebLogicサーバーコンポーネントの脆弱性（サブコンポーネント：Webコンテナ）。サポートされているバージョンで影響を受けるのは、9.2.4、10.0.2、10.3.5、10.3.6および12.1.1です。容易に悪用できる脆弱性は、 HTTP で認証されていないネットワーク攻撃を成功させることが可能です。この脆弱性に対する攻撃が成功すると、権限なくOracle WebLogic Serverをハングさせたり、頻繁にクラッシュを繰り返させたりする（完全なDOS）可能性があります。

Sun Java System App Server Enterprise Ed 8.1 2005Q1、Solaris パッチ。
Sun によるこのパッチの最終更新日: 2011 年 10 月 18 日

Peter Valchev 氏は、XML 解析用 C ライブラリの expat に、特定の UTF-8 シーケンスを解析する際のエラーを発見しました。これが悪用されると、このライブラリを使用するアプリケーションがクラッシュする可能性があります。

Red Hat セキュリティアドバイザリ 2009:1615 から：

セキュリティ問題を修正した更新済み xerces-j2 パッケージが Red Hat Enterprise Linux 5 で利用可能になりました。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

xerces-j2 パッケージは、高性能 XML パーサーである Apache Xerces2 Java Parser を提供します。Document Type Definition（DTD）は、XML ファイルといった特定の種類のファイルに対するのためのリーガルシンタクス（および使用可能な要素）を定義します。

Apache Xerces2 Java Parser が DTD のシステム識別子を処理したやり方で欠陥が見つかりました。リモートの攻撃者は、Apache Xerces2 Java パーサーを使用するプリケーションによって解析されるとサービス拒否（過度な CPU の使用によるアプリケーションのハングアップ）につながる可能性のある、特別に細工された XML ファイルを送りつけることがあります。(CVE-2009-2625)

ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正する必要があります。この更新を有効にするには、Apache Xerces2 Java Parser を使用するアプリケーションを再起動する必要があります。

a. Java JRE セキュリティ更新

JRE のバージョン 1.5.0_22 への更新は、以前の JRE リリースに存在する複数のセキュリティ問題に対処しています。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_18 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-1093、CVE-2009-1094、CVE-2009-1095、CVE-2009-1096、CVE-2009-1097、CVE-2009-1098、CVE-2009-1099、CVE-2009-1100、CVE-2009-1101、CVE-2009-1102、CVE-2009-1103、CVE-2009-1104、CVE-2009-1105、CVE-2009-1106、CVE-2009-1107。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_20 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-2625、CVE-2009-2670、CVE-2009-2671、CVE-2009-2672、CVE-2009-2673、CVE-2009-2675、CVE-2009-2676、CVE-2009-2716、CVE-2009-2718、CVE-2009-2719、CVE-2009-2720、CVE-2009-2721、CVE-2009-2722、CVE-2009-2723、CVE-2009-2724。

Common Vulnerabilities and Exposures プロジェクト（cve.mitre.org）は、JRE 1.5.0_22 で修正されたセキュリティ問題に次の名前を割り当てています：CVE-2009-3728、CVE-2009-3729、CVE-2009-3864、CVE-2009-3865、CVE-2009-3866、CVE-2009-3867、CVE-2009-3868、CVE-2009-3869、CVE-2009-3871、CVE-2009-3872、CVE-2009-3873、CVE-2009-3874、CVE-2009-3875、CVE-2009-3876、CVE-2009-3877、CVE-2009-3879、CVE-2009-3880、CVE-2009-3881、CVE-2009-3882、CVE-2009-3883、CVE-2009-3884、CVE-2009-3886、CVE-2009-3885。

リモートの VMware ESX / ESXi ホストにセキュリティ関連のパッチがありません。
したがって、次のコンポーネントで、リモートコードの実行の脆弱性などの複数の脆弱性による影響を受けます：

- Apache Geronimo
 - Apache Tomcat
 - Apache Xerces2
 - cURL/libcURL
 - ISC BIND
 - Libxml2
 - Linux カーネル
 - Linux カーネル 64 ビット
 - Linux カーネル Common Internet File System
 - Linux カーネル eCryptfs
 - NTP
 - Python
 - Java Runtime Environment（JRE）
 - Java SE 開発キット（JDK）
 - Java SE Abstract Window Toolkit（AWT）
 - Java SE Plugin
 - Java SE Provider
 - Java SE Swing
 - Java SE Web Start

ID	名前	製品	ファミリー	公開日	更新日	深刻度
63904	RHEL 4：JBoss EAP（RHSA-2009:1637）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	medium
44848	Debian DSA-1984-1：libxerces2-java - サービス拒否	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	medium
78942	RHEL 6：Virtualization Manager（RHSA-2012:1537）	Nessus	Red Hat Local Security Checks	2014/11/8	2021/1/14	medium
107913	Solaris 10（x86）： 124673-20	Nessus	Solaris Local Security Checks	2018/3/12	2022/1/26	medium
23552	Solaris 9（sparc）: 119166-43	Nessus	Solaris Local Security Checks	2006/11/6	2022/1/26	high
44786	Debian DSA-1921-1 : expat - サービス拒否	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	medium
67963	Oracle Linux 5：xerces-j2（ELSA-2009-1615）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
45386	VMSA-2010-0002：VMware vCenter 更新リリースは、Java JRE における複数のセキュリティ問題に対処します。	Nessus	VMware ESX Local Security Checks	2010/3/31	2021/1/6	critical
89117	VMware ESX / ESXi の複数の脆弱性（VMSA-2009-0016）（remote check）	Nessus	Misc.	2016/3/3	2021/1/6	critical

検出

プラグインの検索

medium

medium

medium

medium

high

medium

medium

critical

critical