リモートホストで実行中の IBM WebSphere Application Server のバージョンは、7.0.0.39 より前の 7.0、8.0.0.11 より前の 8.0、または 8.5.5.6 より前の 8.5 です。このため、複数の脆弱性の影響を受ける可能性があります：

- FREAK（RSA-EXPORT キーに対するファクター攻撃）と呼ばれるセキュリティ機能のバイパスの脆弱性が IBM Global Security Kit（GSKit）に存在します。これは、512 ビッド以下のキーで弱い EXPORT_RSA 暗号化パッケージがサポートされているため、存在します。中間者攻撃により、EXPORT_RSA 暗号化パッケージを使用するように SSL/TLS 接続をダウングレードすることができ、これは短時間でファクタリング可能であり、攻撃者がトラフィックを傍受したり復号したりするおそれがあります。(CVE-2015-0138)

- Apache WSS4J の Bleichenbacher 対策の実装の欠陥により、情報漏洩の脆弱性が存在します。リモートの攻撃者がこれを悪用し、細工されたメッセージを介して暗号化失敗の位置を見つけ、平文の対称鍵へのアクセス権を取得する可能性があります。(CVE-2015-0226)

- XML 外部エンティティ（XXE）の脆弱性が存在します。これは、XML パーサーが不適切に構成され、XML 外部エンティティが信頼できないソースから受け入れられているため発生しています。リモートの攻撃者がこれを悪用し、特別に細工された XML データを介して、任意のファイルへアクセス権を取得する可能性があります。(CVE-2015-0250)

- Oauth 許可パスワードを使用する際に「full」プロファイルおよび「liberty」プロファイルで発生する欠陥のために、権限昇格の脆弱性が存在します。リモートの攻撃者がこれを悪用して、昇格された特権を取得する可能性があります。
 (CVE-2015-1885)

- serveServletsbyClassname　の機能の誤った設定により、権限昇格の脆弱性が存在します。リモートの攻撃者がこれを悪用して、昇格された特権を取得する可能性があります。(CVE-2015-1927)

- 認証されていないリモートの攻撃者が、HTTP「Via」ヘッダーを読み取ることによってプロキシサーバーソフトウェアを特定することを可能にする、情報漏洩の脆弱性が存在します。(CVE-2015-1932)

- 詳細不明の欠陥が管理コンソールに存在し、これによりリモートの攻撃者が「JSESSIONID」パラメーターを介してユーザーのセッションをハイジャックする可能性があります。(CVE-2015-1936)

- ユーザーロールの処理の際に発生する詳細不明の欠陥により、権限昇格の脆弱性が存在します。
 ローカルの攻撃者がこれを悪用して、昇格された権限を取得する可能性があります。（CVE-2015-1946）
 - 初期化フェーズの RC4 暗号化アルゴリズムによるキーデータと状態データの不適切な組み合わせにより、Bar Mitzvah として知られるセキュリティ機能バイパスの脆弱性が存在しています。中間者攻撃を行う攻撃者はこれを悪用して、LSB 値を用いたブルートフォース攻撃によりトラフィックを復号化できます。(CVE-2015-2808)

- 認証されていないリモートの攻撃者が、サーブレットを偽装したり、機密情報を漏洩させることを可能にする、詳細不明の欠陥が存在します。(CVE-2015-4938)

Red Hat JBoss Enterprise Application Platform 6.4.0 を提供し、複数のセキュリティの問題といくつかのバグを修正し、さまざまな拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

XML 暗号化の Bleichenbacher 攻撃（CVE-2011-2487）に対する Apache WSS4J の以前の対応策が、試行される攻撃の失敗を判断する権限を攻撃者に与える例外を投げていました。これにより、WSS4J が攻撃に対して脆弱なまま放置されていました。元の欠陥により、リモートの攻撃者が、対称キーのプレーンテキストすべてを復元する可能性がありました。(CVE-2015-0226)

Apache WSS4J が、XML Signature ラッピング攻撃により、 requireSignedEncryptedDataElements 構成プロパティのバイパスを許可していたことが判明しました。リモートの攻撃者が、この欠陥を利用して、署名済みリクエストのコンテンツを改竄する可能性があります。(CVE-2015-0227)

以前の JkMount ルールのサブツリーに対する JkUnmount ルールが無視される可能性があることが判明しました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。(CVE-2014-8111)

PicketLink のサービスプロバイダーとアイデンティティプロバイダーが特定のリクエストを処理する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用し、 PicketLink で被害者のアカウントにログインする可能性があります。(CVE-2015-0277)

Red Hat Enterprise アプリケーションプラットフォームが提供するコマンドラインインターフェイスが、安全でないデフォルトのファイル権限で .jboss-cli-history という名前の履歴ファイルをユーザーのホームディレクトリに作成していることが判明しました。これにより、悪意あるローカルのユーザーが本来ならアクセスできない情報を入手する可能性があります。(CVE-2014-3586)

Red Hat の Ondrej Kotek 氏が、CVE-2015-0277 の問題を発見しました。

この JBoss Enterprise Application Platform のリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、リファレンスでリンクされている、JBoss Enterprise Application Platform 6.4.0 のリリースノートから間もなく入手できます。

Red Hat Enterprise Linux 6 上で JBoss Enterprise Application Platform 6.4.0 を必要とする全ユーザーは、これらの新しいパッケージをインストールする必要があります。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

Red Hat JBoss Enterprise Application Platform 6.4.0 を提供し、複数のセキュリティの問題といくつかのバグを修正し、さまざまな拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

XML 暗号化の Bleichenbacher 攻撃（CVE-2011-2487）に対する Apache WSS4J の以前の対応策が、試行される攻撃の失敗を判断する権限を攻撃者に与える例外を投げていました。これにより、WSS4J が攻撃に対して脆弱なまま放置されていました。元の欠陥により、リモートの攻撃者が、対称キーのプレーンテキストすべてを復元する可能性がありました。(CVE-2015-0226)

Apache WSS4J が、XML Signature ラッピング攻撃により、 requireSignedEncryptedDataElements 構成プロパティのバイパスを許可していたことが判明しました。リモートの攻撃者が、この欠陥を利用して、署名済みリクエストのコンテンツを改竄する可能性があります。(CVE-2015-0227)

以前の JkMount ルールのサブツリーに対する JkUnmount ルールが無視される可能性があることが判明しました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。(CVE-2014-8111)

PicketLink のサービスプロバイダーとアイデンティティプロバイダーが特定のリクエストを処理する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用し、 PicketLink で被害者のアカウントにログインする可能性があります。(CVE-2015-0277)

Red Hat Enterprise アプリケーションプラットフォームが提供するコマンドラインインターフェイスが、安全でないデフォルトのファイル権限で .jboss-cli-history という名前の履歴ファイルをユーザーのホームディレクトリに作成していることが判明しました。これにより、悪意あるローカルのユーザーが本来ならアクセスできない情報を入手する可能性があります。(CVE-2014-3586)

Red Hat の Ondrej Kotek 氏が、CVE-2015-0277 の問題を発見しました。

この JBoss Enterprise Application Platform のリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、リファレンスでリンクされている、JBoss Enterprise Application Platform 6.4.0 のリリースノートから間もなく入手できます。

Red Hat Enterprise Linux 5 上で JBoss Enterprise Application Platform 6.4.0 を必要とする全ユーザーは、これらの新しいパッケージをインストールする必要があります。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

多数のセキュリティ問題と複数のバグを修正し、さまざまな拡張機能を追加するRed Hat JBoss Enterprise Application Platform 6.4.0の更新済みパッケージが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hat JBoss Enterprise Application Platform 6は、JBoss Application Server 7をベースにしたJavaアプリケーション用のプラットフォームです。BleichenbacherのXML暗号化の攻撃（CVE-2011-2487）に対するApache WSS4Jの以前の対策は例外をスローするため、攻撃者は仕掛けた攻撃が失敗したことを判断でき、そのためWSS4Jは攻撃に対して脆弱なままであることがわかりました。元の欠陥により、リモートの攻撃者が、対称キーのプレーンテキストすべてを復元する可能性がありました。（CVE-2015-0226）PicketLinkのサービスプロバイダーとアイデンティティプロバイダーが特定のリクエストを処理する方法に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用し、PicketLinkで被害者のアカウントにログインする可能性があります。（CVE-2015-0277）以前のJkMountルールのサブツリーに対するJkUnmountルールが無視される可能性があることが発見されました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。（CVE-2014-8111）Apache WSS4Jでは、XML署名ラッピング攻撃により、 requireSignedEncryptedDataElements構成プロパティをバイパスされる可能性があることがわかりました。リモートの攻撃者が、この欠陥を悪用して、署名済みリクエストのコンテンツに変更を加える可能性があります。（CVE-2015-0227）Red Hat Enterpriseアプリケーションプラットフォームが提供するコマンドラインインターフェイスが、安全でないデフォルトのファイル権限で.jboss-cli-historyという名前の履歴ファイルをユーザーのホームディレクトリに作成していることが判明しました。これにより、悪意あるローカルのユーザーが本来ならアクセスできない情報を入手する可能性があります。（CVE-2014-3586）Red HatのOndrej Kotek氏が、CVE-2015-0277の問題を発見しました。このJBoss Enterprise Application Platformのリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、「参照」でリンクされている、『Red Hat JBoss Enterprise Application Platform 6.4.0リリースノート』から、間もなく使用できます。Red Hat Enterprise Linux 7でJBoss Enterprise Application Platform 6.4.0が必要なすべてのユーザーは、これらの新しいパッケージをインストールする必要があります。この更新プログラムを有効にするには、JBossサーバープロセスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
84639	IBM WebSphere Application Server 7.0 < 7.0.0.39（FP39）/ 8.0 < 8.0.0.11（FP11）/ 8.5 < 8.5.5.6（FP6）複数の脆弱性（Bar Mitzvah）（FREAK）	Nessus	Web Servers	2015/7/9	2018/8/6	high
82896	RHEL 6：JBoss EAP（RHSA-2015:0847）	Nessus	Red Hat Local Security Checks	2015/4/20	2021/2/5	high
82895	RHEL 5：JBoss EAP（RHSA-2015:0846）	Nessus	Red Hat Local Security Checks	2015/4/20	2019/10/24	high
112239	RHEL 7：JBoss EAP（RHSA-2015:0848）	Nessus	Red Hat Local Security Checks	2018/9/4	2019/10/24	high

検出

プラグインの検索

high

high

high

high