リモートホストにインストールされている Apache Tomcat JK Connector (mod_jk) のバージョンは、1.2.41 より前の 1.2.x です。このため、リクエストでの「JkUnmount」ディレクティブおよび複数の隣接するスラッシュの不適切な処理による、情報漏洩の脆弱性の影響を受けます。リモートの攻撃者がこれを悪用して、制限された非公開のアーチファクトにアクセスして、機密情報の漏洩を引き起こす可能性があります。

スキャナーはこれらの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Red Hat JBoss Enterprise Application Platform 6.4.0 を提供し、複数のセキュリティの問題といくつかのバグを修正し、さまざまな拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

XML 暗号化の Bleichenbacher 攻撃（CVE-2011-2487）に対する Apache WSS4J の以前の対応策が、試行される攻撃の失敗を判断する権限を攻撃者に与える例外を投げていました。これにより、WSS4J が攻撃に対して脆弱なまま放置されていました。元の欠陥により、リモートの攻撃者が、対称キーのプレーンテキストすべてを復元する可能性がありました。(CVE-2015-0226)

Apache WSS4J が、XML Signature ラッピング攻撃により、 requireSignedEncryptedDataElements 構成プロパティのバイパスを許可していたことが判明しました。リモートの攻撃者が、この欠陥を利用して、署名済みリクエストのコンテンツを改竄する可能性があります。(CVE-2015-0227)

以前の JkMount ルールのサブツリーに対する JkUnmount ルールが無視される可能性があることが判明しました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。(CVE-2014-8111)

PicketLink のサービスプロバイダーとアイデンティティプロバイダーが特定のリクエストを処理する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用し、 PicketLink で被害者のアカウントにログインする可能性があります。(CVE-2015-0277)

Red Hat Enterprise アプリケーションプラットフォームが提供するコマンドラインインターフェイスが、安全でないデフォルトのファイル権限で .jboss-cli-history という名前の履歴ファイルをユーザーのホームディレクトリに作成していることが判明しました。これにより、悪意あるローカルのユーザーが本来ならアクセスできない情報を入手する可能性があります。(CVE-2014-3586)

Red Hat の Ondrej Kotek 氏が、CVE-2015-0277 の問題を発見しました。

この JBoss Enterprise Application Platform のリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、リファレンスでリンクされている、JBoss Enterprise Application Platform 6.4.0 のリリースノートから間もなく入手できます。

Red Hat Enterprise Linux 6 上で JBoss Enterprise Application Platform 6.4.0 を必要とする全ユーザーは、これらの新しいパッケージをインストールする必要があります。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

2 件のセキュリティ問題を修正する Red Hat JBoss Web Server 2.1.0 の更新が、Red Hat Enterprise Linux 5、6、および 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Web Server は、Java Web アプリケーションをホスティングするコンポーネント全体の統合認定セットです。Apache HTTP Server、 Apache Tomcat サーブレットコンテナ、Apache Tomcat コネクタ（mod_jk）、JBoss HTTP コネクタ（mod_cluster）、Hibernate、 Tomcat Native ライブラリで構成されます。

mod_cluster マネージャーが特定の MCMP メッセージを処理する方法で欠陥が見つかりました。MCMP メッセージの発信が許可されたネットワークへアクセスできる攻撃者がこの欠陥を利用して、mod_cluster マネージャー Web インターフェイスで任意の　JavaScript コードを実行する可能性があります。
(CVE-2015-0298)

以前の JkMount ルールのサブツリーに対する JkUnmount ルールが無視される可能性があることが判明しました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。(CVE-2014-8111)

Red Hat JBoss Web Server 2.1.0 の全ユーザーは、この更新を適用することが推奨されます。この更新を有効にするには、Red Hat JBoss Web Server プロセスを再起動する必要があります。

Apache Web サーバーから Tomcat へとリクエストを転送するための Apache 2 モジュール mod_jk に、不適切な JkMount/JkUnmount ディレクティブプロセスによる情報漏洩の欠陥が見つかりました。以前の JkMount ルールのサブツリーの JkUnmount ルールは、無視される可能性があります。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。

squeeze ディストリビューションでは、この問題はバージョン 1:1.2.30-1squeeze2 で修正されています。

libapache-mod-jk パッケージをアップグレードすることを推奨します。

この更新は Markus Koschany 氏により用意されています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

サーバー応答ヘッダーに基づき、リモートホストでリッスンする Apache Tomcat の JK コネクタ（mod_jk）のインストールは、 1.2.41 より前のバージョン 1.2.x です。このため、リクエストでの「JkUnmount」ディレクティブおよび複数の隣接するスラッシュの不適切な処理による、情報漏洩の脆弱性の影響を受けます。リモートの攻撃者がこれを悪用して、制限された非公開のアーチファクトにアクセスして、機密情報の漏洩を引き起こす可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このapache2-mod_jkの更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2018-11759：httpdのHTTPリクエストの不適切な処理によるコネクタパストラバーサルが修正されました（bsc#1114612）。

CVE-2014-8111：Apache Tomcat Connectors（mod_jk）は、以前の JkMount ルールのサブツリーに対する JkUnmount ルールを無視しました。これによりリモートの攻撃者が、詳細不明なベクトルを介して、別の方法で制限されたアーティファクトにアクセスできました（bsc#927845）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Apache2 Web サーバーが更新され、いくつかのセキュリティ問題が修正されました。

修正されたセキュリティの課題：

- Apache HTTP Server のチャンク転送コード実装が、チャンクヘッダーを適切に解析していませんでした。これにより、リモートの攻撃者が、modules/http/http_filters.c の大きなチャンクサイズの値と無効なチャンク拡張文字の不適切な処理に関連して、細工されたリクエストで HTTP リクエストスマグリングを実行する可能性があります。[bsc#938728、CVE-2015-3183]

- LOGJAM のセキュリティの問題が次により対処されました：[bnc#931723 CVE-2015-4000]

- SSLCipherSuite 暗号化文字列を変更して、エクスポート暗号化パッケージを無効化し、エフェメラル楕円曲線ディフィー・ヘルマン（ECDHE）暗号を展開します。

-「gensslcert」スクリプトを調整し、強い一意のディフィー・ヘルマングループを生成し、サーバー証明書ファイルに追加します。

- Apache HTTP Server 2.4.x の server/request.c の ap_some_auth_required 関数が、Require ディレクティブが認証設定ではなく承認設定と関連づけられている可能性があることを配慮していませんでした。これにより、リモートの攻撃者が、2.2 API の動作に依存するモジュールの存在を利用して、意図されたアクセス制限を状況によってはバイパスする可能性がありました。[bnc#938723 bnc#939516 CVE-2015-3185]

- JkMount/JkUnmount ディレクティブの不適切な処理による Tomcat mod_jk の情報漏洩 [bnc#927845 CVE-2014-8111]

その他のバグ修正：

- 現在は suse_maintenance_mmn_# を提供しています [bnc#915666]。

- %files のハードコードモジュール [bnc#444878]。

- SSLSessionCache 周辺の IfModule ディレクティブを修正しました [bnc#911159]。

- Yast2 ファイアウォールファイルの TCP ポートのみを許可します [bnc#931002]

- バックエンド接続が再利用された場合に、一部の LDAP 検索または比較が間違った認証情報で実行される回帰を修正しました [bnc#930228]

- split-logfile2 スクリプトを修正しました [bnc#869790]

- 変更された MODULE_MAGIC_NUMBER_MINOR を削除します。これにより、apache が提供しない機能を期待する方法をモジュールが混乱します。[bnc#915666]

- gensslcert：現在　CN はデフォルトで「hostname -f」になっています [bnc#949766]、ヘルプを修正します [bnc#949771]

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Red Hat JBoss Enterprise Application Platform 6.4.0 を提供し、複数のセキュリティの問題といくつかのバグを修正し、さまざまな拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

XML 暗号化の Bleichenbacher 攻撃（CVE-2011-2487）に対する Apache WSS4J の以前の対応策が、試行される攻撃の失敗を判断する権限を攻撃者に与える例外を投げていました。これにより、WSS4J が攻撃に対して脆弱なまま放置されていました。元の欠陥により、リモートの攻撃者が、対称キーのプレーンテキストすべてを復元する可能性がありました。(CVE-2015-0226)

Apache WSS4J が、XML Signature ラッピング攻撃により、 requireSignedEncryptedDataElements 構成プロパティのバイパスを許可していたことが判明しました。リモートの攻撃者が、この欠陥を利用して、署名済みリクエストのコンテンツを改竄する可能性があります。(CVE-2015-0227)

以前の JkMount ルールのサブツリーに対する JkUnmount ルールが無視される可能性があることが判明しました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。(CVE-2014-8111)

PicketLink のサービスプロバイダーとアイデンティティプロバイダーが特定のリクエストを処理する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用し、 PicketLink で被害者のアカウントにログインする可能性があります。(CVE-2015-0277)

Red Hat Enterprise アプリケーションプラットフォームが提供するコマンドラインインターフェイスが、安全でないデフォルトのファイル権限で .jboss-cli-history という名前の履歴ファイルをユーザーのホームディレクトリに作成していることが判明しました。これにより、悪意あるローカルのユーザーが本来ならアクセスできない情報を入手する可能性があります。(CVE-2014-3586)

Red Hat の Ondrej Kotek 氏が、CVE-2015-0277 の問題を発見しました。

この JBoss Enterprise Application Platform のリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、リファレンスでリンクされている、JBoss Enterprise Application Platform 6.4.0 のリリースノートから間もなく入手できます。

Red Hat Enterprise Linux 5 上で JBoss Enterprise Application Platform 6.4.0 を必要とする全ユーザーは、これらの新しいパッケージをインストールする必要があります。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

Apache Web サーバーから Tomcat へとリクエストを転送するための Apache 2 モジュール mod_jk に、不適切な JkMount/JkUnmount ディレクティブプロセスによる情報漏洩の欠陥が見つかりました。以前の JkMount ルールのサブツリーの JkUnmount ルールは、無視される可能性があります。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。

NIST による報告：

1.2.41 以前の Apache Tomcat Connectors（mod_jk）は、以前の JkMount ルールのサブツリーに対する JkUnmount ルールを無視します。これによりリモートの攻撃者が、詳細不明なベクトルを介して、別の方法で制限されたアーティファクトにアクセスできます。

多数のセキュリティ問題と複数のバグを修正し、さまざまな拡張機能を追加するRed Hat JBoss Enterprise Application Platform 6.4.0の更新済みパッケージが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Red Hat JBoss Enterprise Application Platform 6は、JBoss Application Server 7をベースにしたJavaアプリケーション用のプラットフォームです。BleichenbacherのXML暗号化の攻撃（CVE-2011-2487）に対するApache WSS4Jの以前の対策は例外をスローするため、攻撃者は仕掛けた攻撃が失敗したことを判断でき、そのためWSS4Jは攻撃に対して脆弱なままであることがわかりました。元の欠陥により、リモートの攻撃者が、対称キーのプレーンテキストすべてを復元する可能性がありました。（CVE-2015-0226）PicketLinkのサービスプロバイダーとアイデンティティプロバイダーが特定のリクエストを処理する方法に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用し、PicketLinkで被害者のアカウントにログインする可能性があります。（CVE-2015-0277）以前のJkMountルールのサブツリーに対するJkUnmountルールが無視される可能性があることが発見されました。これにより、リモートの攻撃者が、本来ならアクセスできないツリーのプライベートなアーティファクトにアクセスする可能性があります。（CVE-2014-8111）Apache WSS4Jでは、XML署名ラッピング攻撃により、 requireSignedEncryptedDataElements構成プロパティをバイパスされる可能性があることがわかりました。リモートの攻撃者が、この欠陥を悪用して、署名済みリクエストのコンテンツに変更を加える可能性があります。（CVE-2015-0227）Red Hat Enterpriseアプリケーションプラットフォームが提供するコマンドラインインターフェイスが、安全でないデフォルトのファイル権限で.jboss-cli-historyという名前の履歴ファイルをユーザーのホームディレクトリに作成していることが判明しました。これにより、悪意あるローカルのユーザーが本来ならアクセスできない情報を入手する可能性があります。（CVE-2014-3586）Red HatのOndrej Kotek氏が、CVE-2015-0277の問題を発見しました。このJBoss Enterprise Application Platformのリリースには、バグ修正や拡張機能も含まれています。これらの変更についてのドキュメントは、「参照」でリンクされている、『Red Hat JBoss Enterprise Application Platform 6.4.0リリースノート』から、間もなく使用できます。Red Hat Enterprise Linux 7でJBoss Enterprise Application Platform 6.4.0が必要なすべてのユーザーは、これらの新しいパッケージをインストールする必要があります。この更新プログラムを有効にするには、JBossサーバープロセスを再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98523	1.2.41 より前の Apache Tomcat JK Connector 1.2.x の JkUnmount ディレクティブのリモート情報漏洩の処理	Web App Scanning	Component Vulnerability	2019/3/25	2023/3/14	high
82896	RHEL 6：JBoss EAP（RHSA-2015:0847）	Nessus	Red Hat Local Security Checks	2015/4/20	2021/2/5	high
85563	RHEL 5/6：JBoss Web Server（RHSA-2015:1642）	Nessus	Red Hat Local Security Checks	2015/8/20	2019/10/24	medium
84062	Debian DLA-240-1：libapache-mod-jk のセキュリティ更新	Nessus	Debian Local Security Checks	2015/6/10	2021/1/11	medium
85513	1.2.41 より前の Apache Tomcat JK Connector 1.2.x の JkUnmount ディレクティブのリモート情報漏洩の処理	Nessus	Web Servers	2015/8/18	2022/4/11	medium
119336	SUSE SLES11セキュリティ更新プログラム：apache2-mod_jk（SUSE-SU-2018:3970-1）	Nessus	SuSE Local Security Checks	2018/12/4	2021/1/19	high
86703	SUSE SLES12 セキュリティ更新：apache2（SUSE-SU-2015:1851-1）（Logjam）	Nessus	SuSE Local Security Checks	2015/11/3	2022/12/5	low
82895	RHEL 5：JBoss EAP（RHSA-2015:0846）	Nessus	Red Hat Local Security Checks	2015/4/20	2019/10/24	high
83980	Debian DSA-3278-1：libapache-mod-jk - セキュリティ更新	Nessus	Debian Local Security Checks	2015/6/4	2021/1/11	medium
85483	FreeBSD：mod_jk -- 情報漏洩（47aa4343-44fa-11e5-9daa-14dae9d210b8）	Nessus	FreeBSD Local Security Checks	2015/8/18	2021/1/6	medium
112239	RHEL 7：JBoss EAP（RHSA-2015:0848）	Nessus	Red Hat Local Security Checks	2018/9/4	2019/10/24	high

検出

プラグインの検索

high

high

medium

medium

medium

high

low

high

medium

medium

high