現已提供適用於 Red Hat Enterprise Linux 6 的更新版套件，內含 Red Hat JBoss Core Services Pack Apache Server 2.4.23，修正數個錯誤，並新增數項增強功能。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。此版本新增了 Apache HTTP Server 2.4.23 套件，其為 JBoss Core Services 供應項目的一部分。此版本作為 Red Hat JBoss Core Services Pack Apache Server 2.4.6 的取代版本，並含有數個錯誤修正和增強功能。如需此版本中最重要的錯誤修正及增強功能的詳細資訊，請參閱「版本資訊」。安全性修正：* 在 OpenSSL 編碼特定 ASN.1 資料結構的方式中，發現一個缺陷。攻擊者可利用此缺陷建立特製的憑證，當 OpenSSL 驗證或重新編碼時，可造成其損毀，或使用執行針對 OpenSSL 程式庫編譯之應用程式的使用者權限執行任意程式碼。(CVE-2016-2108) * 據發現，寫入目標緩衝區以建立虛擬主機對應規則之前的長度檢查並未考量到虛擬主機名稱的長度，因而可能發生緩衝區溢位。(CVE-2016-6808) * 據發現，OpenSSL 在運算數位簽章演算法 (DSA) 簽章時，未一律使用常數時間作業。本機攻擊者可利用此缺陷取得屬於相同系統上執行之另一使用者或服務的私密 DSA 金鑰。(CVE-2016-2178) * 在 OpenSSL 執行指標算術的方式中，發現多個整數溢位缺陷。遠端攻擊者可能會利用這些缺陷，造成使用 OpenSSL 的 TLS/SSL 伺服器或用戶端當機。(CVE-2016-2177) * 據發現，指定 JVMRoute 路徑長於 80 個字元的組態時，會引發最終造成伺服器當機的分割錯誤。(CVE-2016-4459) * 在 mod_cluster 負載平衡器 Apache HTTP Server 模組的通訊協定剖析邏輯中，發現一個錯誤。攻擊者可利用此缺陷造成提供服務的 httpd 處理程序中發生分割錯誤。(CVE-2016-8612) Red Hat 要感謝 OpenSSL 專案報告 CVE-2016-2108。CVE-2016-4459 問題是由 Robert Bost (Red Hat) 所發現。上游確認 Huzaifa Sidhpurwala (Red Hat)、Hanno Bock 與 David Benjamin (Google) 是 CVE-2016-2108 的原始報告者。

偵測

RHEL 6：JBoss Core Services (RHSA-2017:0193)

critical Nessus Plugin ID 96824

找不到變更記錄