現已提供適用於 RHEL 7 的 JBoss Core Services 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。此版本新增了 Apache HTTP Server 2.4.37 套件，其為 JBoss Core Services 供應項目的一部分。此版本作為 Red Hat JBoss Core Services Pack Apache Server 2.4.29 的取代版本，並含有數個錯誤修正和增強功能。如需此版本中最重要的錯誤修正及增強功能的詳細資訊，請參閱「版本資訊」。安全性修正：* openssl：crypto/rsa/ rsa_gen.c 中發生 RSA 金鑰產生快取計時弱點，進而讓攻擊者復原私密金鑰 (CVE-2018-0737) * openssl：DSA 簽章演算法中發生計時旁路攻擊 (CVE-2018-0734) * mod_auth_digest：因為爭用情形造成存取控制繞過弱點 (CVE-2019-0217) * openssl：SMT/Hyper-Threading 架構上的旁路弱點 (PortSmash) (CVE-2018-5407) * mod_session_cookie 並未奉行到期時間 (CVE-2018-17199) * mod_http2：透過緩慢、不需要的要求內文造成 DoS (CVE-2018-17189) * mod_http2：執行最新更新可能會發生當機 (CVE-2019-0197) * mod_http2：執行字串比較時發生釋放後讀取 (CVE-2019-0196) * nghttp2：HTTP/2：大量資料要求導致拒絕服務 (CVE-2019-9511) * nghttp2：HTTP/2：使用 PRIORITY 框架的洪水導致資源過度消耗 (CVE-2019-9513) * mod_http2：HTTP/2：0 長度標頭導致拒絕服務 (CVE-2019-9516) * mod_http2：HTTP/2：對大型回應的要求導致拒絕服務 (CVE-2019-9517) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

偵測

RHEL 7：JBoss Core Services (RHSA-2019:3933) (0 長度標頭洩漏) (Data Dribble) (內部資料緩衝) (資源迴圈)

high Nessus Plugin ID 131216

版本 1.3