jboss-ec2-eap 的更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 6.4。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。jboss-ec2-eap 程序包为 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上运行的 Red Hat JBoss Enterprise Application Platform 提供脚本。通过此更新，已更新 jboss-ec2-eap 程序包以确保兼容 Red Hat JBoss Enterprise Application Platform 6.4.16。安全修复：* 已发现 Red Hat JBoss Enterprise Application 6 和 7 中的日志文件查看器允许经身份验证的用户通过路径遍历读取任意文件。(CVE-2017-2595) * 已发现一种恶意 Web 应用程序可以通过 Tomcat 实用工具方式（可访问 Web 应用程序），绕过已配置的 SecurityManager。(CVE-2016-5018) * 已发现恶意 Web 应用程序可通过操作 JSP Servlet 的配置参数，绕过已配置的 SecurityManager。(CVE-2016-6796)

リモートホストにインストールされている Tomcat のバージョンは 7.0.72より前です。したがって、fixed_in_apache_tomcat_7.0.72_security-7 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Apache Tomcat 9.0.0.M1～9.0.0.M9、8.5.0～8.5.4、8.0.0.RC1～8.0.36、7.0.0～7.0.70、6.0.0～6.0.45でのResourceLinkFactory実装が、グローバルJNDIリソースへのWebアプリケーションのアクセスを、Webアプリケーションに明示的にリンクされているリソースに限定していませんでした。そのため、明示的なResourceLinkが設定されているかどうかに関係なく、Webアプリケーションが任意のグローバルJNDIリソースにアクセスできていた可能性があります。（CVE-2016-6797）

  - Apache Tomcat 9.0.0.M1～9.0.0.M9、8.5.0～8.5.4、8.0.0.RC1～8.0.36、7.0.0～7.0.70、6.0.0～6.0.45で実行している悪意のあるWebアプリケーションが、JSP Servletの構成パラメーターを操作して構成済みのSecurityManagerをバイパスできていました。（CVE-2016-6796）

  - SecurityManagerが設定されている場合、システムプロパティを読み取るWebアプリケーションの機能はSecurityManagerによって制御される必要があります。Apache Tomcat 9.0.0.M1～9.0.0.M9、8.5.0～8.5.4、8.0.0.RC1～8.0.36、7.0.0～7.0.70、6.0.0～6.0.45では、構成ファイル用のTomcatのシステムプロパティ置換機能が悪意のあるWebアプリケーションによって使用され、SecurityManagerをバイパスし、本来表示されないはずのシステムプロパティを読み取る可能性があります。（CVE-2016-6794）

  - Apache Tomcat 9.0.0.M1～9.0.0.M9、8.5.0～8.5.4、8.0.0.RC1～8.0.36、7.0.0～7.0.70、6.0.0～6.0.45では、悪意のあるWebアプリケーションがWebアプリケーションにアクセス可能なTomcatユーティリティメソッドを介して、設定されたSecurityManagerをバイパスできていました。（CVE-2016-5018）

  - Apache Tomcat バージョン9.0.0.M1～9.0.0.M9、8.5.0～8.5.4、8.0.0.RC1～8.0.36、7.0.0～7.0.70、6.0.0～6.0.45では、入力されたユーザー名が存在しない場合、Realmの実装は入力されたパスワードを処理しませんでした。これにより、有効なユーザー名を決定するタイミング攻撃が可能になりました。デフォルトの構成には、この脆弱性の悪用を困難にする LockOutRealm が含まれています。
    (CVE-2016-0762)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このTomcatの更新には、次の修正が含まれています：

機能の変更：

組み込みのApache Commons DBCPコンポーネントがバージョン2.0に更新されました。
(bsc#1010893 fate#321029)

セキュリティ修正：

  - CVE-2016-0762：Realmタイミング攻撃（bsc#1007854）

  - CVE-2016-5018：セキュリティマネージャーバイパス（bsc#1007855）

  - CVE-2016-6794：システムプロパティの漏洩（bsc#1007857）

  - CVE-2016-6796：マネージャーバイパス（bsc#1007858）

  - CVE-2016-6797：グローバルリソースへの無制限アクセス（bsc#1007853）

  - CVE-2016-8735：JmxRemoteLifecycleListenerのリモートでコードが実行される脆弱性（bsc#1011805）

  - CVE-2016-6816：HTTPリクエストで無効な文字を許可することによるHTTPリクエストのスマグリングの脆弱性（bsc#1011812）

修正されたバグ：

  - WebAppClassLoaderBase.filter()のStringIndexOutOfBoundsExceptionを修正しました。（bsc#974407）

  - context.xml形式をTomcat 8で導入された新しいものに変更することで、サンプルwebappでのデプロイメントエラーを修正しました。（bsc#1004728）

  - オプションのsetenv.shスクリプトを有効にしました。http://tomcat.apache.org/tomcat-8.0-doc/RUNNING.txt.(bsc#1002639のセクション「（3.4）「setenv」スクリプトの使用」を参照してください。

  - CVE-2016-6816により引き起こされていたリグレッションを修正しました

この更新では、バージョン2の新しいパッケージapache-commons-pool2とapache-commons-dbcpが提供され、tomcatがDBCP 2.0インターフェイスを使用できるようになります。

This update was imported from the SUSE: SLE-12-SP1：Update update project.

tomcat 用のこの更新は、次の問題を修正します：

Feature changes :

組み込みのApache Commons DBCPコンポーネントがバージョン2.0に更新されました。
(bsc#1010893 fate#321029)

セキュリティ修正：

  - CVE-2016-0762：タイミング攻撃bsc#1007854

  - CVE-2016-5018：セキュリティマネージャーバイパス（bsc#1007855）

  - CVE-2016-6794：システムプロパティの漏洩（bsc#1007857）

  - CVE-2016-6796：セキュリティマネージャーバイパス（bsc#1007858）

  - CVE-2016-6797：グローバルリソースへの無制限アクセス（bsc#1007853）

  - CVE-2016-8735：JmxRemoteLifecycleListenerのリモートでコードが実行される脆弱性（bsc#1011805）

  - CVE-2016-6816：HTTPリクエストで無効な文字を許可することによるHTTPリクエストのスマグリングの脆弱性（bsc#1011812）

バグ修正：

  - オプションのsetenv.shスクリプトを有効にしました。http://tomcat.apache.org/tomcat-8.0-doc/RUNNING.txt.(bsc#1002639のセクション「（3.4）「setenv」スクリプトの使用」を参照してください。

この更新プログラムでは、バージョン2の新しいパッケージapache-commons-pool2とapache-commons-dbcpが提供され、tomcatがDBCP 2.0 インターフェイスを使用できるようになります。

This update was imported from the SUSE: SLE-12-SP2：Update update project.

この更新は、tomcat 8.0.36から8.0.38までのリベース含みます。これにより、複数のCVEや8.0.37がfreeipaにもたらす問題を解決します。

  - rhbz#1375581 - CVE-2016-5388 Tomcat：CGIは、ユーザー指定のプロキシリクエストヘッダーに基づいて、環境変数を設定します

  - rhbz#1390532 - CVE-2016-0762 CVE-2016-5018 CVE-2016-6794 CVE-2016-6796 CVE-2016-6797 tomcat：様々な欠陥

1つのバグ修正とともに、2つの追加のCVE修正が含まれています：

  - rhbz#1383210 - CVE-2016-5425 tomcat：systemd-tmpfilesサービスによるローカルの権限昇格

  - rhbz#1383216 - CVE-2016-6325 tomcat：tomcatの書き込み可能な構成ファイルにより権限昇格が可能になります

  - rhbz#1370262 -catalina.outはもはやメインパッケージで使用されませんが、依然としてローテーションされます

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

更新プログラムが、RHEL 7対応のRed Hat JBoss Web Server 3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Web Serverは、Java Webアプリケーションをホスティングするための完全に統合され認定されたコンポーネントのセットです。これは、Apache HTTP Server、Apache Tomcatサーブレットコンテナ、Apache Tomcatコネクタ（mod_jk）、JBoss HTTPコネクタ（mod_cluster）、Hibernate、Tomcat Nativeライブラリで構成されています。Red Hat JBoss Web Server 3.1.0のこのリリースは、Red Hat JBoss Web Server 3.0.3を置換するものとして機能し、拡張機能が含まれています。セキュリティ修正プログラム：Tomcatのinitスクリプトが安全でないファイル処理を実行していることが報告されました。これにより、ローカルの権限昇格が発生する可能性があります。（CVE-2016-1240）* Tomcatパッケージにインストールされている特定の設定ファイルが、tomcatグループに対して書き込み可能なファイルとしてTomcat初期化スクリプトで読み込まれることがわかりました。グループのメンバーまたはTomcatに導入された悪意のあるWebアプリケーションが、この欠陥を利用して権限を昇格させる可能性があります。（CVE-2016-6325）* JmxRemoteLifecycleListenerは、CVE-2016-3427のOracleの修正を考慮して更新されていませんでした。JMXRemoteLifecycleListenerは、EWS 2.xおよびJWS 3.xソースディストリビューションにのみ含まれています。EWS 2.xまたはJWS 3.xディストリビューションを使用し、ソースから構築されたTomcatインスタンスを展開する場合、攻撃者がこの欠陥を利用して、展開されたインスタンスに対してリモートでコードが実行される攻撃を開始する可能性があります。（CVE-2016-8735）Commons FileUploadにサービス拒否の脆弱性が見つかりました。これは、マルチパート境界が通常のように数十バイトの長さで、境界の長さが、アップロードされたファイルの読み取りに使用するバッファサイズ（4096バイト）未満である場合に発生しました。（CVE-2016-3092）* HTTPリクエスト行を解析したコードが無効な文字を許可していたことがわかりました。これは、無効な文字は許可されているが解釈が異なるプロキシと組み合わせて、HTTP応答にデータを挿入するために悪用される可能性があります。HTTP応答を操作することにより、攻撃者がWebキャッシュを害したり、XSS攻撃を実行したり、自分以外のリクエストから秘密情報を取得したりする可能性があります。（CVE-2016-6816）* NIO HTTPコネクタの送信ファイルコードのエラー処理でバグが発見されました。これにより、現在のプロセッサーオブジェクトがプロセッサーキャッシュに複数回追加され、セッションIDやレスポンスボディを含むリクエスト間の情報漏えいが生じる可能性があります。（CVE-2016-8745）* 入力されたユーザー名が存在しない場合、Realmの実装は入力されたパスワードを処理しませんでした。これにより、有効なユーザー名を決定するタイミング攻撃が可能になりました。デフォルトの構成には、この脆弱性の悪用を困難にするLockOutRealmが含まれています。（CVE-2016-0762）* 悪意のあるWebアプリケーションが、Webアプリケーションにアクセス可能なTomcatユーティリティメソッドを介して、設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-5018）* SecurityManagerが設定されているときに、構成ファイル用のTomcatのシステムプロパティ置換機能が悪意のあるWebアプリケーションによって使用され、SecurityManagerをバイパスし、本来表示されるべきではないシステムプロパティを読み取る可能性があることがわかりました。（CVE-2016-6794）* 悪意のあるWebアプリケーションが、JSP Servletの構成パラメーターを操作して構成済みのSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-6796）* 明示的なResourceLinkが設定されているかどうかに関係なく、Webアプリケーションが任意のグローバルJNDIリソースにアクセスする可能性があることがわかりました。（CVE-2016-6797）CVE-2016-6325の問題は、Red Hat製品セキュリティによって発見されました。拡張機能：*この拡張機能の更新プログラムは、Red Hat Enterprise Linux 7にRed Hat JBoss Webサーバー3.1.0パッケージを追加します。これらのパッケージは、以前のバージョンのRed Hat JBoss Web Serverに対して多くの拡張機能を提供します。（JIRA#JWS-268）

Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.16のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.15に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。セキュリティ修正プログラム：* Red Hat JBoss Enterprise Application 6および7のログファイルビューアーでは、パストラバーサルを介して認証されたユーザーが任意のファイルを読み取る可能性があることがわかりました。（CVE-2017-2595）* 悪意のあるWebアプリケーションが、Webアプリケーションにアクセス可能なTomcatユーティリティメソッドを介して、設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-5018）* 悪意のあるWebアプリケーションが、JSP Servletの構成パラメーターを操作して設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-6796）

Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.16のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.15に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。セキュリティ修正プログラム：* Red Hat JBoss Enterprise Application 6および7のログファイルビューアーでは、パストラバーサルを介して認証されたユーザーが任意のファイルを読み取る可能性があることがわかりました。（CVE-2017-2595）* 悪意のあるWebアプリケーションが、Webアプリケーションにアクセス可能なTomcatユーティリティメソッドを介して、設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-5018）* 悪意のあるWebアプリケーションが、JSP Servletの構成パラメーターを操作して設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-6796）

ID	Name	Product	Family	Published	Updated	Severity
100949	RHEL 6：jboss-ec2-eap (RHSA-2017:1552)	Nessus	Red Hat Local Security Checks	6/21/2017	10/24/2019	high
197818	Apache Tomcat 7.0.0< 7.0.72の複数の脆弱性	Nessus	Web Servers	5/23/2024	5/23/2024	critical
95790	openSUSEセキュリティ更新プログラム：tomcat（openSUSE-2016-1455）	Nessus	SuSE Local Security Checks	12/14/2016	5/14/2023	critical
95791	openSUSEセキュリティ更新プログラム：tomcat（openSUSE-2016-1456）	Nessus	SuSE Local Security Checks	12/14/2016	5/14/2023	critical
94747	Fedora 23：1: tomcat（2016-4094bd4ad6）（httpoxy）	Nessus	Fedora Local Security Checks	11/14/2016	1/11/2021	high
97596	RHEL 7：Red Hat JBoss Web Server 3.1.0（RHSA-2017:0456）	Nessus	Red Hat Local Security Checks	3/8/2017	5/14/2023	critical
100981	RHEL 6：JBoss EAP（RHSA-2017:1549）	Nessus	Red Hat Local Security Checks	6/22/2017	10/24/2019	high
112260	RHEL 7：JBoss EAP（RHSA-2017:1548）	Nessus	Red Hat Local Security Checks	9/4/2018	8/12/2024	critical

Detections

Analytics

Plugins Search

high

critical

critical

critical

high

critical

high

critical