重要情報 セキュリティアドバイザリ番号: RHSA-2014:0171 公開日: 2014-02-13 更新日: 2014-02-13 重大度: 中 影響を受ける製品: Red Hat JBoss Enterprise Application Platform 6.2.1 テーマ Red Hat JBoss Enterprise Application Platform 6.2.1 の更新パッケージにより、3つのセキュリティ問題、複数のバグが修正され、各種の強化機能が追加されました。 Red Hat Security Response Team は、この更新を中程度のセキュリティ影響を持つものとして評価しました。各脆弱性の詳細な重大度スコアについては、参照セクションの各CVEリンクで示されるCVSSベーススコアを参照してください。 説明 JBoss Enterprise Application Platform 6 に含まれる OpenSAML Java 実装のパーサープールおよびデクリプタクラスが外部エンティティを解析する脆弱性により、XML外部エンティティ（XXE）攻撃を可能にし、攻撃者にファイルの読み取りやより高度なXXE攻撃の実行を可能にします。 Apache Santuario XML Security プロジェクトは、セキュリティ検証が有効になっている際にDTD（文書型定義）を処理する機能があり、これにより攻撃者がシステム上の利用可能なメモリをすべて枯渇させ、サービス妨害（DoS）を引き起こす可能性があります。 セキュリティマネージャーが使用されている環境において、JBoss Enterprise Application Platform はデプロイされたコードがモジュールサービスコンテナ（MSC）のサービスレジストリに対して権限チェックなしでアクセスすることを許可しており、悪意あるデプロイメントがサーバーの内部状態を様々な方法で変更できる可能性があります。 解決策 この更新を適用する前に、システムに関連する以前リリースされたすべてのバグ修正が適用されていることを確認してください。さらに、カスタマイズした Red Hat JBoss Enterprise Application Platform 6 の設定ファイルをバックアップしてください。更新プロセス中、ローカルで変更された設定ファイルは更新されません。 この更新は Red Hat Network から入手可能です。 影響を受ける製品 影響を受ける製品バージョンとプラットフォームの一覧。 修正情報 関連するバグトラッキング、CVE番号、およびRPMアップグレード情報の一覧。 CVE番号 CVE-2014-0018: MSCサービスレジストリに対するチェックされていないJSMへのアクセス。 CVE-2013-4517: Apache Santuario XML Security におけるDoS攻撃。 CVE-2013-6440: XML外部エンティティ（XXE）の脆弱性。 参照 セキュリティ分類リンクおよびリリースノートリンク。