Updated packages that provide Red Hat JBoss Enterprise Application Platform 6.4.10 natives, fix several bugs, and add various enhancements are now available for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat JBoss Enterprise Application Platform 6 is a platform for Java applications based on JBoss Application Server 7.

This release includes bug fixes and enhancements, as well as a new release of OpenSSL. For further information, see the knowledge base article linked to in the References section. All users of Red Hat JBoss Enterprise Application Platform 6.4 on Red Hat Enterprise Linux 7 are advised to upgrade to these updated packages. The JBoss server process must be restarted for the update to take effect.

Security Fix(es) :

* Multiple flaws were found in the way httpd parsed HTTP requests and responses using chunked transfer encoding. A remote attacker could use these flaws to create a specially crafted request, which httpd would decode differently from an HTTP proxy software in front of it, possibly leading to HTTP request smuggling attacks. (CVE-2015-3183)

* It was discovered that it is possible to remotely Segfault Apache http server with a specially crafted string sent to the mod_cluster via service messages (MCMP). (CVE-2016-3110)

* It was discovered that specifying configuration with a JVMRoute path longer than 80 characters will cause segmentation fault leading to a server crash. (CVE-2016-4459)

Red Hat would like to thank Michal Karm Babacek for reporting CVE-2016-3110. The CVE-2016-4459 issue was discovered by Robert Bost (Red Hat).

Updated packages that provide Red Hat JBoss Enterprise Application Platform 6.4.10 natives, fix several bugs, and add various enhancements are now available for Red Hat Enterprise Linux 6.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat JBoss Enterprise Application Platform 6 is a platform for Java applications based on JBoss Application Server 7.

This release includes bug fixes and enhancements, as well as a new release of OpenSSL. For further information, see the knowledge base article linked to in the References section. All users of Red Hat JBoss Enterprise Application Platform 6.4 on Red Hat Enterprise Linux 6 are advised to upgrade to these updated packages. The JBoss server process must be restarted for the update to take effect.

Security Fix(es) :

* Multiple flaws were found in the way httpd parsed HTTP requests and responses using chunked transfer encoding. A remote attacker could use these flaws to create a specially crafted request, which httpd would decode differently from an HTTP proxy software in front of it, possibly leading to HTTP request smuggling attacks. (CVE-2015-3183)

* It was discovered that it is possible to remotely Segfault Apache http server with a specially crafted string sent to the mod_cluster via service messages (MCMP). (CVE-2016-3110)

* It was discovered that specifying configuration with a JVMRoute path longer than 80 characters will cause segmentation fault leading to a server crash. (CVE-2016-4459)

Red Hat would like to thank Michal Karm Babacek for reporting CVE-2016-3110. The CVE-2016-4459 issue was discovered by Robert Bost (Red Hat).

Updated packages that provide Red Hat JBoss Core Services Pack Apache Server 2.4.23 and fix several bugs, and add various enhancements are now available for Red Hat Enterprise Linux 6.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

This release adds the new Apache HTTP Server 2.4.23 packages that are part of the JBoss Core Services offering.

This release serves as a replacement for Red Hat JBoss Core Services Pack Apache Server 2.4.6, and includes bug fixes and enhancements.
Refer to the Release Notes for information on the most significant bug fixes and enhancements included in this release.

Security Fix(es) :

* A flaw was found in the way OpenSSL encoded certain ASN.1 data structures. An attacker could use this flaw to create a specially crafted certificate which, when verified or re-encoded by OpenSSL, could cause it to crash, or execute arbitrary code using the permissions of the user running an application compiled against the OpenSSL library. (CVE-2016-2108)

* It was found that the length checks prior to writing to the target buffer for creating a virtual host mapping rule did not take account of the length of the virtual host name, creating the potential for a buffer overflow. (CVE-2016-6808)

* It was discovered that OpenSSL did not always use constant time operations when computing Digital Signature Algorithm (DSA) signatures. A local attacker could possibly use this flaw to obtain a private DSA key belonging to another user or service running on the same system. (CVE-2016-2178)

* Multiple integer overflow flaws were found in the way OpenSSL performed pointer arithmetic. A remote attacker could possibly use these flaws to cause a TLS/SSL server or client using OpenSSL to crash. (CVE-2016-2177)

* It was discovered that specifying configuration with a JVMRoute path longer than 80 characters will cause segmentation fault leading to a server crash. (CVE-2016-4459)

* An error was found in protocol parsing logic of mod_cluster load balancer Apache HTTP Server modules. An attacker could use this flaw to cause a Segmentation Fault in the serving httpd process.
(CVE-2016-8612)

Red Hat would like to thank the OpenSSL project for reporting CVE-2016-2108. The CVE-2016-4459 issue was discovered by Robert Bost (Red Hat). Upstream acknowledges Huzaifa Sidhpurwala (Red Hat), Hanno Bock, and David Benjamin (Google) as the original reporters of CVE-2016-2108.

An update is now available for JBoss Core Services on RHEL 7.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

This release adds the new Apache HTTP Server 2.4.23 packages that are part of the JBoss Core Services offering.

This release serves as a replacement for Red Hat JBoss Core Services Pack Apache Server 2.4.6 and includes bug fixes and enhancements.
Refer to the Release Notes for information on the most significant bug fixes and enhancements included in this release.

Security Fix(es) :

* A flaw was found in the way OpenSSL encoded certain ASN.1 data structures. An attacker could use this flaw to create a specially crafted certificate which, when verified or re-encoded by OpenSSL, could cause it to crash, or execute arbitrary code using the permissions of the user running an application compiled against the OpenSSL library. (CVE-2016-2108)

* It was found that the length checks prior to writing to the target buffer for creating a virtual host mapping rule did not take account of the length of the virtual host name, creating the potential for a buffer overflow. (CVE-2016-6808)

* It was discovered that OpenSSL did not always use constant time operations when computing Digital Signature Algorithm (DSA) signatures. A local attacker could possibly use this flaw to obtain a private DSA key belonging to another user or service running on the same system. (CVE-2016-2178)

* Multiple integer overflow flaws were found in the way OpenSSL performed pointer arithmetic. A remote attacker could possibly use these flaws to cause a TLS/SSL server or client using OpenSSL to crash. (CVE-2016-2177)

* It was discovered that specifying configuration with a JVMRoute path longer than 80 characters will cause segmentation fault leading to a server crash. (CVE-2016-4459)

* An error was found in protocol parsing logic of mod_cluster load balancer Apache HTTP Server modules. An attacker could use this flaw to cause a Segmentation Fault in the serving httpd process.
(CVE-2016-8612)

Red Hat would like to thank the OpenSSL project for reporting CVE-2016-2108. The CVE-2016-4459 issue was discovered by Robert Bost (Red Hat). Upstream acknowledges Huzaifa Sidhpurwala (Red Hat), Hanno Bock, and David Benjamin (Google) as the original reporters of CVE-2016-2108.

Red Hat JBoss Enterprise Application Platform 6.4.10ネイティブを提供し、いくつかのバグを修正し、さまざまな拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platform 6は、JBoss Application Server 7をベースにしたJavaアプリケーション用のプラットフォームです。このリリースには、バグの修正と拡張機能、およびOpenSSLの新しいリリースが含まれています。詳細については、「参照」セクションでリンクされているナレッジベースの記事を参照してください。Red Hat Enterprise Linux 6のRed Hat JBoss Enterprise Application Platform 6.4の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。この更新プログラムを有効にするには、JBossサーバープロセスを再起動する必要があります。セキュリティ修正プログラム：* httpdがHTTPリクエストを解析し、チャンク転送エンコーディングを使用して応答する方法に、複数の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、特別に細工されたリクエストを作成し、httpdにHTTPプロキシソフトウェアとは異なる方法でデコードさせ、HTTPリクエストスマグリング攻撃を引き起こす可能性があります。（CVE-2015-3183）* サービスメッセージ（MCMP）を介して特別に細工された文字列をmod_clusterに送信することにより、リモートでApache httpサーバーにセグメンテーション違反を発生させることが可能であることがわかりました。（CVE-2016-3110）* JVMRouteパスが80文字を超える構成を指定すると、セグメンテーション違反が発生し、サーバーのクラッシュを引き起こすことがわかりました。（CVE-2016-4459）Red Hatは、CVE-2016-3110を報告してくれたMichal Karm Babacek氏に感謝の意を表します。CVE-2016-4459の問題は、Robert Bost氏（Red Hat）により発見されました。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版套件，內含 Red Hat JBoss Core Services Pack Apache Server 2.4.23，修正數個錯誤，並新增數項增強功能。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。此版本新增了 Apache HTTP Server 2.4.23 套件，其為 JBoss Core Services 供應項目的一部分。此版本作為 Red Hat JBoss Core Services Pack Apache Server 2.4.6 的取代版本，並含有數個錯誤修正和增強功能。如需此版本中最重要的錯誤修正及增強功能的詳細資訊，請參閱「版本資訊」。安全性修正：* 在 OpenSSL 編碼特定 ASN.1 資料結構的方式中，發現一個缺陷。攻擊者可利用此缺陷建立特製的憑證，當 OpenSSL 驗證或重新編碼時，可造成其損毀，或使用執行針對 OpenSSL 程式庫編譯之應用程式的使用者權限執行任意程式碼。(CVE-2016-2108) * 據發現，寫入目標緩衝區以建立虛擬主機對應規則之前的長度檢查並未考量到虛擬主機名稱的長度，因而可能發生緩衝區溢位。(CVE-2016-6808) * 據發現，OpenSSL 在運算數位簽章演算法 (DSA) 簽章時，未一律使用常數時間作業。本機攻擊者可利用此缺陷取得屬於相同系統上執行之另一使用者或服務的私密 DSA 金鑰。(CVE-2016-2178) * 在 OpenSSL 執行指標算術的方式中，發現多個整數溢位缺陷。遠端攻擊者可能會利用這些缺陷，造成使用 OpenSSL 的 TLS/SSL 伺服器或用戶端當機。(CVE-2016-2177) * 據發現，指定 JVMRoute 路徑長於 80 個字元的組態時，會引發最終造成伺服器當機的分割錯誤。(CVE-2016-4459) * 在 mod_cluster 負載平衡器 Apache HTTP Server 模組的通訊協定剖析邏輯中，發現一個錯誤。攻擊者可利用此缺陷造成提供服務的 httpd 處理程序中發生分割錯誤。(CVE-2016-8612) Red Hat 要感謝 OpenSSL 專案報告 CVE-2016-2108。CVE-2016-4459 問題是由 Robert Bost (Red Hat) 所發現。上游確認 Huzaifa Sidhpurwala (Red Hat)、Hanno Bock 與 David Benjamin (Google) 是 CVE-2016-2108 的原始報告者。

Red Hat JBoss CoreサービスパックApache Server 2.4.23を提供し、いくつかのバグを修正し、さまざまな拡張機能を追加した更新済みのパッケージが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.23パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Pack Apache Server 2.4.6を置き換え、バグ修正プログラムおよび拡張機能を提供します。このリリースに含まれる最も重要なバグ修正プログラムおよび拡張機能については、リリースノートを参照してください。セキュリティ修正プログラム：* OpenSSLが特定のASN.1データ構造をエンコードする方法に、欠陥が見つかりました。攻撃者はこの欠陥を利用して、特別に細工された証明書を作成し、OpenSSLにより検証または再エンコードされるときに、それをクラッシュさせるか、OpenSSLライブラリに対してコンパイルされたアプリケーションを実行しているユーザーのアクセス許可で、任意のコードを実行する可能性があります。（CVE-2016-2108）*仮想ホストマッピングルールを作成するために目的のバッファに書き込む前の長さのチェックでは、仮想ホスト名の長さが考慮されず、バッファオーバーフローの可能性がありました。（CVE-2016-6808）* OpenSSLがデジタル署名アルゴリズム（DSA）署名を計算するとき、常に定数時間演算を使用するとは限らないことがわかりました。ローカルの攻撃者がこの欠陥を悪用して、同じシステム上で実行されている別のユーザーまたはサービスに属するプライベートDSAキーを取得する可能性があります。（CVE-2016-2178）* OpenSSLがポインター演算を実行する方法に、複数の整数オーバーフローの欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、OpenSSLを使用するTLS/SSLサーバーまたはクライアントをクラッシュさせる可能性があります。（CVE-2016-2177）* JVMRouteパスが80文字を超える構成を指定すると、セグメンテーション違反が発生し、サーバーのクラッシュを引き起こすことがわかりました。（CVE-2016-4459）* mod_clusterロードバランサApache HTTP Serverモジュールのプロトコル解析ロジックでエラーが見つかりました。攻撃者がこの欠陥を悪用し、サービングhttpdプロセスにSegmentation Faultを引き起こす可能性があります。（CVE-2016-8612）Red Hatは、CVE-2016-2108を報告してくれたOpenSSLプロジェクトに感謝の意を表します。CVE-2016-4459の問題は、Robert Bost氏（Red Hat）により発見されました。Upstreamは、Huzaifa Sidhpurwala氏（Red Hat）、Hanno Bock氏、および David Benjamin氏（Google）をCVE-2016-2108の最初の報告者として認めます。

現已提供適用於 Red Hat Enterprise Linux 7 的更新版套件，內含 Red Hat JBoss Enterprise Application Platform 6.4.10 的原生支援，可修正數個錯誤，並且新增多個增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有「中等」安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

此版本包括錯誤修正及增強功能，以及新的 OpenSSL 版本。如需更多資訊，請參閱知識庫文章，連結附於〈參照〉一節中。建議所有在 Red Hat Enterprise Linux 7 中使用 Red Hat JBoss Enterprise Application Platform 6.4 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

安全性修正：

* httpd 使用區塊傳輸編碼剖析 HTTP 要求和回應的方式中發現多個瑕疵。遠端攻擊者可利用這些缺陷建立特製的要求，httpd 解碼該要求的方式會和其前面的 HTTP Proxy 軟體不同，而這可能引發 HTTP 要求走私攻擊。(CVE-2015-3183)

* 據發現，可使用透過服務訊息 (MCMP) 傳送至 mod_cluster 的特製字串，在遠端使 Apache http server 發生分割錯誤。(CVE-2016-3110)

* 據發現，指定 JVMRoute 路徑長於 80 個字元的設定時，會引發最終造成伺服器當機的分割錯誤。(CVE-2016-4459)

Red Hat 感謝 Michal Karm Babacek 報告 CVE-2016-3110。CVE-2016-4459 問題是由 Robert Bost (Red Hat) 所發現。

更新プログラムが、RHEL 7のJBoss Core Servicesで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.23パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Pack Apache Server 2.4.6を置き換え、バグ修正プログラムおよび拡張機能を提供します。このリリースに含まれる最も重要なバグ修正プログラムおよび拡張機能については、リリースノートを参照してください。セキュリティ修正プログラム：* OpenSSLが特定のASN.1データ構造をエンコードする方法に、欠陥が見つかりました。攻撃者はこの欠陥を利用して、特別に細工された証明書を作成し、OpenSSLにより検証または再エンコードされるときに、それをクラッシュさせるか、OpenSSLライブラリに対してコンパイルされたアプリケーションを実行しているユーザーのアクセス許可で、任意のコードを実行する可能性があります。（CVE-2016-2108）*仮想ホストマッピングルールを作成するために目的のバッファに書き込む前の長さのチェックでは、仮想ホスト名の長さが考慮されず、バッファオーバーフローの可能性がありました。（CVE-2016-6808）* OpenSSLがデジタル署名アルゴリズム（DSA）署名を計算するとき、常に定数時間演算を使用するとは限らないことがわかりました。ローカルの攻撃者がこの欠陥を悪用して、同じシステム上で実行されている別のユーザーまたはサービスに属するプライベートDSAキーを取得する可能性があります。（CVE-2016-2178）* OpenSSLがポインター演算を実行する方法に、複数の整数オーバーフローの欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、OpenSSLを使用するTLS/SSLサーバーまたはクライアントをクラッシュさせる可能性があります。（CVE-2016-2177）* JVMRouteパスが80文字を超える構成を指定すると、セグメンテーション違反が発生し、サーバーのクラッシュを引き起こすことがわかりました。（CVE-2016-4459）* mod_clusterロードバランサApache HTTP Serverモジュールのプロトコル解析ロジックでエラーが見つかりました。攻撃者がこの欠陥を悪用し、サービングhttpdプロセスにSegmentation Faultを引き起こす可能性があります。（CVE-2016-8612）Red Hatは、CVE-2016-2108を報告してくれたOpenSSLプロジェクトに感謝の意を表します。CVE-2016-4459の問題は、Robert Bost氏（Red Hat）により発見されました。Upstreamは、Huzaifa Sidhpurwala氏（Red Hat）、Hanno Bock氏、および David Benjamin氏（Google）をCVE-2016-2108の最初の報告者として認めます。

更新后的程序包提供了 Red Hat JBoss Enterprise Application Platform 6.4.10 的原生支持，修复了若干缺陷，并添加了多种增强，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本包括缺陷补丁、增强功能，以及新的 OpenSSL 版本。有关更多信息，请参阅“参考”部分中链接的知识库文章。建议 Red Hat Enterprise Linux 7 上的所有 Red Hat JBoss Enterprise Application Platform 6.4 用户都升级到这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

安全修复：

* 在 httpd 使用分块传输编码解析 HTTP 请求和响应的方式中发现多种缺陷。远程攻击者可使用这些缺陷创建特制的请求，在该请求前 httpd 将以不同于解码 HTTP 代理软件的方式对其进行解码，从而可能导致 HTTP request smuggling 攻击。(CVE-2015-3183)

* 已发现通过服务消息 (MCMP) 向 mod_cluster 发送特制字符串时，可远程导致 Apache http 服务器出现段错误。(CVE-2016-3110)

* 已发现指定具有 80 多个字符的 JVMRoute 路径时，将造成分段错误，进而致使服务器崩溃。(CVE-2016-4459)

Red Hat 在此感谢 Michal Karm Babacek 报告 CVE-2016-3110。CVE-2016-4459 问题由 Robert Bost (Red Hat) 发现。

Red Hat JBoss Enterprise Application Platform 6.4.10 を提供し、いくつかのバグを修正し、いくつかの拡張機能を追加する更新済みパッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示す CVSS (共通脆弱性評価システム) ベーススコアは、「参照」セクションの CVE リンクから脆弱性ごとに入手できます。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

このリリースにはバグ修正プログラムと機能強化のほか、OpenSSL の新しいリリースが含まれています。詳細については、「参照」セクションでリンクされているナレッジベースの記事を参照してください。Red Hat Enterprise Linux 7 の Red Hat JBoss Enterprise Application Platform 6.4 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

セキュリティ修正プログラム:

* httpd が HTTP リクエストを解析し、チャンク転送エンコーディングを使用して応答する方法で、複数の欠陥が見つかりました。リモートの攻撃者がこれらの欠陥を悪用して、特別に細工されたリクエストを作成し、httpdにHTTPプロキシソフトウェアとは異なる方法でデコードさせ、HTTPリクエストスマグリング攻撃を引き起こす可能性があります。（CVE-2015-3183）

* サービスメッセージ (MCMP) を介して特別に細工された文字列を mod_cluster に送信することにより、リモートで Apache http サーバーにセグメンテーション違反を発生させることが可能であることがわかりました。(CVE-2016-3110)

* JVMRoute パスが 80 文字を超える構成を指定すると、セグメンテーション違反が発生し、サーバーのクラッシュを引き起こすことがわかりました。(CVE-2016-4459)

Red Hatは、CVE-2016-3110を報告してくれたMichal Karm Babacek氏に感謝の意を表します。CVE-2016-4459の問題は、Robert Bost氏（Red Hat）により発見されました。

更新后的程序包提供 Red Hat JBoss Core Services Pack Apache Server 2.4.23 并修复若干缺陷，并增加多种增强，现在可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。此版本增加新的 Apache HTTP Server 2.4.23 程序包，该程序包是 JBoss Core Services 产品的一部分。此版本可替换 Red Hat JBoss Core Services Pack Apache Server 2.4.6，并包含缺陷修复和增强功能。请参阅版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。安全修复：* 在 OpenSSL 编码特定 ASN.1 数据结构的方式中发现缺陷。攻击者可利用此缺陷创建特制的证书，当通过 OpenSSL 验证或重新编码时，可造成其崩溃，或导致以运行针对 OpenSSL 库编译的应用程序的用户权限执行任意代码。(CVE-2016-2108) * 据发现，写入目标缓冲区以建立虚拟主机映射规则之前的长度检查并未考虑到虚拟主机名称的长度，因而可能发生缓冲区溢出。(CVE-2016-6808) * 据发现，OpenSSL 在计算数字签名算法 (DSA) 签名时，未一律使用常数时间操作。本地攻击者可利用此缺陷取得属于相同系统上运行之另一用户或服务的私人 DSA 密钥。(CVE-2016-2178) * 在 OpenSSL 执行指针算法的方式中，发现多个整数溢出缺陷。远程攻击者可能会利用此缺陷导致使用 OpenSSL 的 TLS/SSL 服务器或客户端崩溃。(CVE-2016-2177) * 已发现指定具有 80 多个字符的 JVMRoute 路径时，将造成分段错误，进而致使服务器崩溃。(CVE-2016-4459) * 在 mod_cluster 负载平衡器 Apache HTTP Server 模块的协议解析逻辑中，发现一个错误。攻击者可利用此缺陷造成服务 httpd 进程中发生分段错误。(CVE-2016-8612) Red Hat 在此感谢 OpenSSL 项目报告 CVE-2016-2108。CVE-2016-4459 问题由 Robert Bost (Red Hat) 发现。上游感谢 CVE-2016-2108 的原始报告者 Huzaifa Sidhpurwala (Red Hat)、Hanno Bock 与 David Benjamin (Google)。

更新可用于 RHEL 7 的 JBoss Core Services。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。此版本增加新的 Apache HTTP Server 2.4.23 程序包，该程序包是 JBoss Core Services 产品的一部分。此版本可替换 Red Hat JBoss Core Services Pack Apache Server 2.4.6，并包含缺陷修复和增强功能。请参阅版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。安全修复：* 在 OpenSSL 编码特定 ASN.1 数据结构的方式中发现缺陷。攻击者可利用此缺陷创建特制的证书，当通过 OpenSSL 验证或重新编码时，可造成其崩溃，或导致以运行针对 OpenSSL 库编译的应用程序的用户权限执行任意代码。(CVE-2016-2108) * 据发现，写入目标缓冲区以建立虚拟主机映射规则之前的长度检查并未考虑到虚拟主机名称的长度，因而可能发生缓冲区溢出。(CVE-2016-6808) * 据发现，OpenSSL 在计算数字签名算法 (DSA) 签名时，未一律使用常数时间操作。本地攻击者可利用此缺陷取得属于相同系统上运行之另一用户或服务的私人 DSA 密钥。(CVE-2016-2178) * 在 OpenSSL 执行指针算法的方式中，发现多个整数溢出缺陷。远程攻击者可能会利用此缺陷导致使用 OpenSSL 的 TLS/SSL 服务器或客户端崩溃。(CVE-2016-2177) * 已发现指定具有 80 多个字符的 JVMRoute 路径时，将造成分段错误，进而致使服务器崩溃。(CVE-2016-4459) * 在 mod_cluster 负载平衡器 Apache HTTP Server 模块的协议解析逻辑中，发现一个错误。攻击者可利用此缺陷造成服务 httpd 进程中发生分段错误。(CVE-2016-8612) Red Hat 在此感谢 OpenSSL 项目报告 CVE-2016-2108。CVE-2016-4459 问题由 Robert Bost (Red Hat) 发现。上游感谢 CVE-2016-2108 的原始报告者 Huzaifa Sidhpurwala (Red Hat)、Hanno Bock 与 David Benjamin (Google)。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版套件，內含 Red Hat JBoss Enterprise Application Platform 6.4.10 原生檔，修正數個錯誤，並新增數項增強功能。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。此版本包括錯誤修正和增強功能，以及新的 OpenSSL 版本。如需更多資訊，請參閱知識庫文章，連結附於〈參照〉一節中。建議所有在 Red Hat Enterprise Linux 6 中使用 Red Hat JBoss Enterprise Application Platform 6.4 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。安全性修正：* 在 httpd 使用區塊傳輸編碼剖析 HTTP 要求和回應的方式中發現多個缺陷。遠端攻擊者可利用這些缺陷建立特製的要求，httpd 解碼該要求的方式會和其前面的 HTTP Proxy 軟體不同，而這可能引發 HTTP 要求走私攻擊。(CVE-2015-3183) * 據發現，可使用透過服務訊息 (MCMP) 傳送至 mod_cluster 的特製字串，在遠端使 Apache http server 發生分割錯誤。(CVE-2016-3110) * 據發現，指定 JVMRoute 路徑長於 80 個字元的組態時，會引發最終造成伺服器當機的分割錯誤。(CVE-2016-4459) Red Hat 感謝 Michal Karm Babacek 報告 CVE-2016-3110。CVE-2016-4459 問題是由 Robert Bost (Red Hat) 所發現。

現已提供適用於 RHEL 7 的 JBoss Core Services 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。此版本新增了 Apache HTTP Server 2.4.23 套件，其為 JBoss Core Services 供應項目的一部分。此版本作為 Red Hat JBoss Core Services Pack Apache Server 2.4.6 的取代版本，並含有數個錯誤修正和增強功能。如需此版本中最重要的錯誤修正及增強功能的詳細資訊，請參閱「版本資訊」。安全性修正：* 在 OpenSSL 編碼特定 ASN.1 資料結構的方式中，發現一個缺陷。攻擊者可利用此缺陷建立特製的憑證，當 OpenSSL 驗證或重新編碼時，可造成其損毀，或使用執行針對 OpenSSL 程式庫編譯之應用程式的使用者權限執行任意程式碼。(CVE-2016-2108) * 據發現，寫入目標緩衝區以建立虛擬主機對應規則之前的長度檢查並未考量到虛擬主機名稱的長度，因而可能發生緩衝區溢位。(CVE-2016-6808) * 據發現，OpenSSL 在運算數位簽章演算法 (DSA) 簽章時，未一律使用常數時間作業。本機攻擊者可利用此缺陷取得屬於相同系統上執行之另一使用者或服務的私密 DSA 金鑰。(CVE-2016-2178) * 在 OpenSSL 執行指標算術的方式中，發現多個整數溢位缺陷。遠端攻擊者可能會利用這些缺陷，造成使用 OpenSSL 的 TLS/SSL 伺服器或用戶端當機。(CVE-2016-2177) * 據發現，指定 JVMRoute 路徑長於 80 個字元的組態時，會引發最終造成伺服器當機的分割錯誤。(CVE-2016-4459) * 在 mod_cluster 負載平衡器 Apache HTTP Server 模組的通訊協定剖析邏輯中，發現一個錯誤。攻擊者可利用此缺陷造成提供服務的 httpd 處理程序中發生分割錯誤。(CVE-2016-8612) Red Hat 要感謝 OpenSSL 專案報告 CVE-2016-2108。CVE-2016-4459 問題是由 Robert Bost (Red Hat) 所發現。上游確認 Huzaifa Sidhpurwala (Red Hat)、Hanno Bock 與 David Benjamin (Google) 是 CVE-2016-2108 的原始報告者。

更新后的程序包提供 Red Hat JBoss Enterprise Application Platform 6.4.10 原生项，修复若干缺陷，并增加多种增强，现在可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。此版本包括缺陷补丁和增强功能，以及新的 OpenSSL 版本。有关更多信息，请参阅“参考”部分中链接的知识库文章。建议 Red Hat Enterprise Linux 6 上 Red Hat JBoss Enterprise Application Platform 6.4 的所有用户都升级到这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。安全修复：* 在 httpd 使用分块传输编码解析 HTTP 请求和响应的方式中发现多个缺陷。远程攻击者可使用这些缺陷创建特制的请求，在该请求前 httpd 将以不同于解码 HTTP 代理软件的方式对其进行解码，从而可能导致 HTTP request smuggling 攻击。(CVE-2015-3183) * 已发现可使用通过服务消息 (MCMP) 发送至 mod_cluster 的特制字符串，远程使 Apache http server 发生段错误。(CVE-2016-3110) * 已发现指定具有 80 多个字符的 JVMRoute 路径时，将造成分段错误，进而致使服务器崩溃。(CVE-2016-4459) Red Hat 在此感谢 Michal Karm Babacek 报告 CVE-2016-3110。CVE-2016-4459 问题由 Robert Bost (Red Hat) 发现。

ID	名稱	產品	系列	已發布	已更新	嚴重性
112247	RHEL 7 : JBoss EAP (RHSA-2016:2054)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/12	high
94066	RHEL 6 : JBoss EAP (RHSA-2016:2055)	Nessus	Red Hat Local Security Checks	2016/10/14	2019/10/24	high
96824	RHEL 6 : JBoss Core Services (RHSA-2017:0193)	Nessus	Red Hat Local Security Checks	2017/1/27	2019/10/24	critical
96867	RHEL 7 : JBoss Core Services (RHSA-2017:0194)	Nessus	Red Hat Local Security Checks	2017/1/30	2019/10/24	critical
94066	RHEL 6：JBoss EAP（RHSA-2016:2055）	Nessus	Red Hat Local Security Checks	2016/10/14	2019/10/24	high
96824	RHEL 6：JBoss Core Services (RHSA-2017:0193)	Nessus	Red Hat Local Security Checks	2017/1/27	2019/10/24	critical
96824	RHEL 6：JBoss Core Services（RHSA-2017:0193）	Nessus	Red Hat Local Security Checks	2017/1/27	2019/10/24	critical
112247	RHEL 7：JBoss EAP (RHSA-2016:2054)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/12	high
96867	RHEL 7：JBoss Core Services（RHSA-2017:0194）	Nessus	Red Hat Local Security Checks	2017/1/30	2019/10/24	critical
112247	RHEL 7：JBoss EAP (RHSA-2016:2054)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/12	high
112247	RHEL 7：JBoss EAP (RHSA-2016:2054)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/12	high
96824	RHEL 6：JBoss Core Services (RHSA-2017:0193)	Nessus	Red Hat Local Security Checks	2017/1/27	2019/10/24	critical
96867	RHEL 7：JBoss Core Services (RHSA-2017:0194)	Nessus	Red Hat Local Security Checks	2017/1/30	2019/10/24	critical
94066	RHEL 6：JBoss EAP (RHSA-2016:2055)	Nessus	Red Hat Local Security Checks	2016/10/14	2019/10/24	high
96867	RHEL 7：JBoss Core Services (RHSA-2017:0194)	Nessus	Red Hat Local Security Checks	2017/1/30	2019/10/24	critical
94066	RHEL 6：JBoss EAP (RHSA-2016:2055)	Nessus	Red Hat Local Security Checks	2016/10/14	2019/10/24	high

偵測

搜尋 Plugin

high

high

critical

critical

high

critical

critical

high

critical

high

high

critical

critical

high

critical

high