The remote Redhat Enterprise Linux 5 / 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2012:0074 advisory.

  - tomcat: Multiple weaknesses in HTTP DIGEST authentication (CVE-2011-1184, CVE-2011-5062, CVE-2011-5063,     CVE-2011-5064)

  - tomcat: security manager restrictions bypass (CVE-2011-2526)

  - JBoss Web remote denial of service when surrogate pair character is placed at buffer boundary     (CVE-2011-4610)

  - tomcat: hash table collisions CPU usage DoS (oCERT-2011-003) (CVE-2011-4858)

  - tomcat: large number of parameters DoS (CVE-2012-0022)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

複数のセキュリティ問題を修正する更新済みの jbossweb パッケージが、Red Hat Enterprise Linux 4、5 および 6 用の JBoss Enterprise Application Platform 5.1.2 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Web は、JBoss Enterprise Application Platform における、 Apache Tomcat に基づいた Web コンテナです。JavaServer Pages（JSP）および Java サーブレットテクノロジーのための単一展開プラットフォームを提供します。

JBoss Web が UTF-8 サロゲートペアの文字を処理する方法で、欠陥が見つかりました。JBoss Web が、UTF-8 文字エンコーディングが有効化されたアプリケーションをホストしていた場合、または応答においてユーザー指定の UTF-8 文字列が含まれている場合、リモートの攻撃者がこの欠陥を利用して、JBoss Web サーバーでサービス拒否（無限ループ）を引き起こす可能性があります。
(CVE-2011-4610)

Java hashCode() メソッドの実装は、予測可能なハッシュ競合の影響を受けやすいことがわかりました。リモートの攻撃者がこの欠陥を利用して、名前をマップすると同じハッシュ値になるパラメーターが多数ある HTTP リクエストを送信することで、JBoss Web に CPU 時間を過剰に使用させる可能性があります。この問題を緩和するために、この更新では、リクエストごとに処理するパラメーターとヘッダーの数に制限を設けています。デフォルトでは、パラメーターに対して 512、ヘッダーに対して 128 を制限値に設定しています。これらのデフォルトは、「jboss-as/server/[PROFILE]/deploy/properties-service.xml」の org.apache.tomcat.util.http.Parameters.MAX_COUNT および org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT システムプロパティを設定することで変更できます。
(CVE-2011-4858)

JBoss Web は、多数のパラメーターや大きなパラメーター値を効率的に処理しないことが判明しました。リモートの攻撃者が、多数のパラメーターや大きなパラメーター値を含む HTTP リクエストを送信することで、JBoss Web サーバーに CPU 時間を過剰に使わせる可能性があります。この問題に対処するために、この更新では、リクエストごとに処理するパラメーターとヘッダーの数に制限を設けています。
org.apache.tomcat.util.http.Parameters.MAX_COUNT および org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT のシステムプロパティの詳細については、CVE-2011-4858 の説明を参照してください。
(CVE-2012-0022)

JBoss Web が HTTP DIGEST 認証を処理する方法で、複数の欠陥が見つかりました。この欠陥は JBoss Web HTTP DIGEST 認証実装を弱体化し、リモートの攻撃者によるセッションリプレイ攻撃を可能にするなど、いくつかの HTTP BASIC 認証の弱点に陥りやすくします。（CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、 CVE-2011-5064）

HTTP APR（Apache Portable Runtime）コネクタまたは NIO（Non-Blocking I/O）コネクタを利用している場合に、JBoss Web が sendfile リクエスト属性を処理する方法で欠陥が見つかりました。JBoss Web インスタンス上で実行されている悪意ある Web アプリケーションがこの欠陥を利用することで、セキュリティマネージャーの制限をバイパスして、他の方法ではアクセスできなかったファイルへのアクセス権を取得したり、Java 仮想マシン（JVM）を終了させたりする可能性があります。
(CVE-2011-2526)

Red Hat は、CVE-2011-4610 を報告してくれた NTT OSSC、
CVE-2011-4858 を報告してくれた oCERT、CVE-2011-2526 を報告してくれた Apache Tomcat プロジェクトに感謝の意を表します。oCERT は、Julian Wälde 氏および Alexander Klink 氏を CVE-2011-4858 の最初の報告者として認めます。

警告：この更新を適用する前に、その他すべてのカスタマイズした構成ファイルとともに、 JBoss Enterprise Application Platform「jboss-as/server/[PROFILE]/deploy/」ディレクトリのバックアップを行ってください。

Red Hat Enterprise Linux 4、5、6 上の JBoss Enterprise Application Platform 5.1.2 のユーザーは、更新済みパッケージにアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 之 JBoss Enterprise Application Platform 5.1.2 的更新版 jbossweb 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Web 是一種在 JBoss Enterprise Application Platform 中以 Apache Tomcat 為基礎的 Web 容器。其提供適用於 JavaServer Pages (JSP) 和 Java Servlet 技術的訊號部署平台。

JBoss Web 處理 UTF-8 替代組字元的方式中發現一個瑕疵如果 JBoss Web 主控了含有啟用了以 UTF-8 字元編碼，或是回應中包含使用者提供的 UTF-8 字串之應用程式，遠端攻擊者便可利用此瑕疵在 JBoss Web 伺服器上造成拒絕服務 (無限迴圈)。
(CVE-2011-4610)

據發現，Java hashCode() 方法實作容易受到可預測的雜湊衝突影響。遠端攻擊者可利用這個瑕疵，透過傳送含有名稱對應到相同雜湊值之大量參數的 HTTP 要求，造成 JBoss Web 使用過多的 CPU 時間。這個更新會引入每個要求所要處理的參數和標頭數目上限，以減輕這個問題的影響。預設參數數目上限為 512，標頭數目上限為 128。設定 'jboss-as/server/[PROFILE]/deploy/properties-service.xml' 中的 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系統內容，即可變更這些預設值。
(CVE-2011-4858)

據發現，JBoss Web 未有效處理大量參數及大參數值。遠端攻擊者可透過傳送含有大量參數或大參數值的 HTTP 要求，造成 JBoss Web 使用過多的 CPU 時間。這個更新會導入每個要求所要處置參數和標頭的數目上限，以解決這個問題。
請參閱 CVE-2011-4858 描述來瞭解有關 org.apache.tomcat.util.http.Parameters.MAX_COUNT 及 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系統內容的資訊。
(CVE-2012-0022)

在 JBoss Web 處理 HTTP 摘要式驗證的方式中發現多個瑕疵。這些瑕疵會削弱 JBoss Web HTTP 摘要式驗證實作強度，使其容易遭受 HTTP BASIC 驗證的某些弱點影響，例如允許遠端攻擊者執行工作階段重播攻擊。(CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064)

使用 HTTP APR (Apache Portable Runtime) 或 NIO (非封鎖 I/O) 連接器時，在 JBoss Web 處理 sendfile 要求屬性的方式中發現一個瑕疵。在 JBoss Web 執行個體上執行的惡意 Web 應用程式，可利用此瑕疵來繞過安全性管理員限制，取得原本無法存取的檔案之存取權，或可能終止 Java 虛擬機器 (JVM)。
(CVE-2011-2526)

Red Hat 要感謝 NTT OSSC 報告 CVE-2011-4610；
oCERT 報告 CVE-2011-4858 以及 Apache Tomcat 專案報告 CVE-2011-2526。oCERT 確認 Julian Wälde 和 Alexander Klink 是 CVE-2011-4858 問題的原始報告者。

警告：套用此更新之前，請先備份 JBoss Enterprise Application Platform 的‘jboss-as/server/[PROFILE]/deploy/’目錄，以及所有其他自訂組態檔。

在 Red Hat Enterprise Linux 4、5 和 6 中使用 JBoss Enterprise Application Platform 5.1.2 的使用者應升級至這些更新版套件，以更正這些問題。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

更新后的 jbossweb 程序包修复了多种安全问题，现在可用于 JBoss Enterprise Application Platform 5.1.2 for Red Hat Enterprise Linux 4、5 和 6。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Web 为 JBoss Enterprise Application Platform 中基于 Apache Tomcat 的 Web 容器。它为 JavaServer Pages (JSP) 和 Java Servlet 技术提供了单一部署平台。

在 JBoss Web 处理 UTF-8 代理对字符的方式中发现一个缺陷。如果 JBoss Web 托管启用了 UTF-8 字符编码的应用程序或者响应中包含用户提供的 UTF-8 字符串的应用程序，远程攻击者可使用此缺陷在 JBoss Web 服务器上造成拒绝服务（无限循环）。
(CVE-2011-4610)

已发现 Java hashCode() 方法实现容易遭受可预测哈希冲突的攻击。通过发送包含名称映射到同一哈希值的大量参数的 HTTP 请求，远程攻击者可利用此缺陷导致 JBoss Web 使用过量 CPU 时间。此更新引入对每个请求处理的参数和标头数量的限制，以便缓解此问题。参数的默认限制为 512，标头的默认限制为 128。可通过在“jboss-as/server/[PROFILE]/deploy/properties-service.xml”中设置 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系统属性来更改这些默认值。
(CVE-2011-4858)

发现 JBoss Web 未有效处理大量参数和大型参数。通过发送包含大量参数或大型参数值的 HTTP 请求，远程攻击者可使 JBoss Web 服务器使用过量 CPU 时间。此更新引入对每个请求中处理的参数和标头的数量的限制以解决此问题。
请参阅 CVE-2011-4858 描述以了解关于 org.apache.tomcat.util.http.Parameters.MAX_COUNT 和 org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT 系统属性的信息。
(CVE-2012-0022)

在 JBoss Web 处理 HTTP 摘要式认证的方式中发现多种缺陷。这些缺陷削弱了 JBoss Web HTTP 摘要式身份验证实现，使其受到 HTTP BASIC 身份验证的某些漏洞的影响，例如允许远程攻击者执行会话重播攻击。（CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、CVE-2011-5064）

使用 HTTP APR (Apache Portable Runtime) 或 NIO（非阻塞 I/O）连接器时，在 JBoss Web 处理 sendfile 请求属性的方式中发现一个缺陷。JBoss Web 实例上运行的恶意 Web 应用程序可使用此缺陷来绕过安全管理器限制并获得对其本应无法访问的文件的访问权限，或者可能终止 Java 虚拟机 (JVM)。
(CVE-2011-2526)

Red Hat 在此感谢 NTT OSSC 报告 CVE-2011-4610；
感谢 oCERT 报告 CVE-2011-4858；感谢 Apache Tomcat 项目报告 CVE-2011-2526。oCERT 感谢 CVE-2011-4858 的原始报告者 Julian Wälde 和 Alexander Klink。

警告：应用此更新之前，请备份 JBoss Enterprise Application Platform 的“jboss-as/server/[PROFILE]/deploy/”目录，以及所有其他自定义配置文件。

Red Hat Enterprise Linux 4、5 和 6 中的 JBoss Enterprise Application Platform 5.1.2 用户应升级这些更新后的程序包，其中修正了这些问题。必须重新启动 JBoss 服务器进程以使此更新生效。

ID	名稱	產品	系列	已發布	已更新	嚴重性
64022	RHEL 5 / 6 : jbossweb (RHSA-2012:0074)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
64022	RHEL 4 / 5 / 6：jbossweb（RHSA-2012:0074）	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
64022	RHEL 4 / 5 / 6：jbossweb (RHSA-2012:0074)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
64022	RHEL 5 / 6：jbossweb (RHSA-2012: 0074)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium

偵測

搜尋 Plugin

medium

medium

medium

medium