3 つのセキュリティ問題と複数のバグを修正する更新済みの JBoss Enterprise Application Platform（JBEAP）4.2 パッケージが、JBEAP 4.2.0.CP09 として Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 5 の JBEAP のリリースは、 JBEAP 4.2.0.CP08 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JMX Console 構成は、GET および POST HTTP「動詞」を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの構成を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。
(CVE-2010-0738)

CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされてる、JBEAP リリースノートの「このリリースの修正済みの問題」セクション（JBPAPP-3952）の「セキュリティ」サブセクションを参照してください。リリースノートで言及されている変更を行う前に、 Red Hat JBoss サポートまで連絡して助言を求めてください。

Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、 Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、 GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された構成が含まれた、Web Console が含まれています。(CVE-2010-1428)

RHSA-2008:0827 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題（CVE-2008-3273）を修正しています。ところが、RHSA-2009:0348 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されている Web コンテンツについての詳細を取得できます。(CVE-2010-1429)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 5 上の JBEAP 4.2 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

3 つのセキュリティ問題と複数のバグを修正する更新済みの JBoss Enterprise Application Platform（JBEAP）4.3 パッケージが、JBEAP 4.3.0.CP08 として Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 5 の JBEAP のリリースは、 JBEAP 4.3.0.CP07 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JMX Console 構成は、GET および POST HTTP「動詞」を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの構成を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。
(CVE-2010-0738)

CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされてる、JBEAP リリースノートの「このリリースの修正済みの問題」セクション（JBPAPP-3952）の「セキュリティ」サブセクションを参照してください。リリースノートで言及されている変更を行う前に、 Red Hat JBoss サポートまで連絡して助言を求めてください。

Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、 Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、 GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された構成が含まれた、Web Console が含まれています。(CVE-2010-1428)

RHSA-2008:0828 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題（CVE-2008-3273）を修正しています。ところが、RHSA-2009:0349 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されている Web コンテンツについての詳細を取得できます。(CVE-2010-1429)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 5 上の JBEAP 4.3 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

リモートホストで実行されているバージョンの JBoss Enterprise Application Platform（EAP）により、「/web-console」ディレクトリの特定のドキュメントに認証を受けずにアクセスできます。これは「web.xml」での不適切な構成によるものであり、ここで必要なのは GET と POST のリクエストに対する認証のみです。これ以外のコマンド（HEAD、DELETE、PUT など）を指定すると、デフォルトの GET ハンドラーが認証なしで使用されます。

リモートの攻撃者はこれを悪用して、認証情報を提供せずに機密情報を取得できます。

このバージョンの JBoss EAP には他の脆弱性がある可能性がありますが、Nessus ではそれらの問題はチェックされていません。

自己報告バージョン番号によると、リモート Junos Space のバージョンは、13.3R1.8 より前です。このため、バンドルされたサードパーティソフトウェアコンポーネントの複数の脆弱性の影響を受けます：

- RedHat JBoss アプリケーションサーバーでの複数の脆弱性。（CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、 CVE-2011-5245、CVE-2012-0818）

- Oracle Java SE JDK での複数の脆弱性。
 （CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、 CVE-2013-2422）

- Oracle MySQL サーバーでの複数の脆弱性。
 （CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839）

- Apache HTTP Server での複数の脆弱性。
 （CVE-2013-1862、CVE-2013-1896）

- 既知のハードコードされた MySQL 認証情報。（CVE-2014-3413）

3 つのセキュリティ問題と複数のバグが修正される更新済みの JBoss Enterprise Application Platform（JBEAP）4.2 パッケージが、JBEAP 4.2.0.CP09 として Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 4 の JBEAP のリリースは、 JBEAP 4.2.0.CP08 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JMX Console 構成は、GET および POST HTTP「動詞」を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの構成を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。
(CVE-2010-0738)

CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされてる、JBEAP リリースノートの「このリリースの修正済みの問題」セクション（JBPAPP-3952）の「セキュリティ」サブセクションを参照してください。リリースノートで言及されている変更を行う前に、 Red Hat JBoss サポートまで連絡して助言を求めてください。

Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、 Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、 GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された構成が含まれた、Web Console が含まれています。(CVE-2010-1428)

RHSA-2008:0825 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題（CVE-2008-3273）を修正しています。ところが、RHSA-2009:0346 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されている Web コンテンツについての詳細を取得できます。(CVE-2010-1429)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 4 上の JBEAP 4.2 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

3 つのセキュリティ問題と複数のバグを修正する更新済みの JBoss Enterprise Application Platform（JBEAP）4.3 パッケージが、JBEAP 4.3.0.CP08 として Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 4 の JBEAP のリリースは、 JBEAP 4.3.0.CP07 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JMX Console 構成は、GET および POST HTTP「動詞」を使用していたリクエストの認証条件のみを指定していました。リモートの攻撃者は GET または POST を指定しない HTTP リクエストを作成でき、デフォルトの GET ハンドラーによって認証なしで実行せることができます。このリリースには、HTTP 動詞を指定しない、更新済みの構成を持つ JMX Console が含まれています。これは認証要件がすべてのリクエストに適用されることを意味します。
(CVE-2010-0738)

CVE-2010-0738 の問題については、早急なアップグレードが不可能な場合やサーバー展開がカスタマイズされている場合、修正は手動で適用することができます。詳細については、参照でリンクされてる、JBEAP リリースノートの「このリリースの修正済みの問題」セクション（JBPAPP-3952）の「セキュリティ」サブセクションを参照してください。リリースノートで言及されている変更を行う前に、 Red Hat JBoss サポートまで連絡して助言を求めてください。

Red Hat は、CVE-2010-0738 の問題を責任もって報告してくれた、 Minded Security の Stefano Di Paola 氏および Giorgio Fedon 氏に感謝の意を表します。

JBoss Application Server Web Console（/web-console）に対する認証されていないアクセスはデフォルトではブロックされます。ところが、このブロックが不完全で、 GET および POST HTTP 動詞のみがブロックされていました。リモートの攻撃者はこの欠陥を利用して、機密情報にアクセスすることができます。このリリースには、すべての認証されていないアクセスがデフォルトでブロックされるように更新された構成が含まれた、Web Console が含まれています。(CVE-2010-1428)

RHSA-2008:0826 更新は、認証されていないユーザーがステータスサーブレットにアクセスできていた問題（CVE-2008-3273）を修正しています。ところが、RHSA-2009:0347 更新に含まれているバグ修正で、この問題が再発しています。リモートの攻撃者はこの欠陥を利用して、展開されている Web コンテンツについての詳細を取得できます。(CVE-2010-1429)

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 4 上の JBEAP 4.3 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
63930	RHEL 5：JBoss EAP（RHSA-2010:0378）	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium
63931	RHEL 5：JBoss EAP（RHSA-2010:0379）	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium
46181	JBoss Enterprise Application Platform（EAP）「/web-console」の認証バイパス	Nessus	Web Servers	2010/4/29	2023/4/25	medium
80195	Juniper Junos Space < 13.3R1.8 の複数の脆弱性（JSA10627）	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical
63928	RHEL 4：JBoss EAP（RHSA-2010:0376）	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium
63929	RHEL 4：JBoss EAP（RHSA-2010:0377）	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium

検出

プラグインの検索

medium

medium

medium

critical

medium

medium