更新現可用於 RHEL 7 的 Red Hat JBoss Core Services。

Red Hat 產品安全性團隊已將此更新評等為具有「重要」安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Core Services 是一組適用於 Red Hat JBoss 中介軟體產品的補充軟體。此軟體 (如 Apache HTTP Server) 常用於多個 JBoss 中介軟體產品中，隨附於 Red Hat JBoss Core Services 中，能快速散發更新並提供更一致的更新體驗。

此 Red Hat JBoss Core Services Apache HTTP Server 2.4.23 Service Pack 1 版本是 Red Hat JBoss Core Services Apache HTTP Server 2.4.23 的取代版本，其中包含錯誤修正，詳情請〈參照〉一節連結的「版本資訊」文件。

安全性修正：

*當 OpenSSL 在工作階段重新交涉期間處理 TLS 狀態要求延伸資料時，發現一個記憶體洩漏缺陷。遠端攻擊者可讓使用 OpenSSL 的 TLS 伺服器耗用過量記憶體，並可能在耗盡所有可用記憶體後意外結束 (若其啟用 OCSP 裝訂支援)。(CVE-2016-6304)

* 據發現，httpd 的 mod_session_crypto 模組未使用任何機制來驗證已加密工作階段資料 (儲存在使用者的瀏覽器中) 的完整性。遠端攻擊者可利用此缺陷，透過 padding oracle 攻擊來解密及修改工作階段資料。
(CVE-2016-0736)

* 據發現，httpd 的 mod_auth_digest 模組未正確檢查記憶體配置是否失敗。若伺服器使用 HTTP 摘要驗證，遠端攻擊者就可利用此缺陷使 httpd 子處理程序不斷當機。(CVE-2016-2161)

* 在 OpenSSL 中發現計時攻擊缺陷，可允許具有本機存取權的惡意使用者還原 ECDSA P-256 私有金鑰。
(CVE-2016-7056)

在 TLS/SSL 通訊協定定義 ALERT 封包處理方式中 (連線交握期間)，發現一個拒絕服務缺陷。遠端攻擊者可利用此缺陷讓 TLS/SSL 伺服器耗用過量 CPU，且無法接受來自其他用戶端的連線。(CVE-2016-8610)

* 據發現，httpd 中的 HTTP 剖析器會以錯誤的方式允許 HTTP 通訊協定規格不允許以未編碼形式顯示在 HTTP 要求標頭的特定字元。若 httpd 與用不同方式解譯這些字元的 proxy 或後端伺服器搭配使用，遠端攻擊者就可利用此缺陷將資料注入 HTTP 回應，進而導致 proxy 快取破壞。(CVE-2016-8743)

* 在 httpd 處理 mod_http2 中的 LimitRequestFields 指示詞時發現弱點，可影響啟用 HTTP/2 的伺服器。攻擊者可傳送其標頭大於伺服器可用記憶體的特製要求，造成 httpd 損毀。
(CVE-2016-8740)

Red Hat 感謝 OpenSSL 專案報告 CVE-2016-6304 以及 Shi Lei (Gear Team of Qihoo 360 Inc.) 報告 CVE-2016-8610。上游確認 Shi Lei (Qihoo 360 Inc. 的 Gear Team) 為 CVE-2016-6304 的原始報告者。

偵測

RHEL 7：JBoss Core Services (RHSA-2017:1413)

high Nessus Plugin ID 117315

版本 1.7