Red Hat SummitRed Hat JBoss Web Server 5.3 リリースノート
Red Hat JBoss Web Server 5.3 向け
概要
第1章 RedHat JBoss Web Server 5.3
Red Hat JBoss Web Server バージョン 5.3 リリースへようこそ。
セキュリティー脆弱性 (CVE-2020-1938) により、AJP コネクターに変更が加えられました。デフォルトでは、AJP コネクターは有効になりません。ビルドで AJP コネクターを使用する必要がある場合は、secret 属性を設定して、サーバーのバインドアドレスを設定します。
Red Hat JBoss Web Server は、Java Web アプリケーションをホストするための完全に統合および認定されたコンポーネントセットです。これは、Web サーバー (Apache HTTP Server)、アプリケーションサーバー (Apache Tomcat Servlet コンテナー)、ロードバランサー (mod_jk および mod_cluster)、および Tomcat ネイティブライブラリーで構成されます。主なコンポーネントの簡単な説明を以下に示します。
- Apache tomcat: Java Servlet Specification に準拠するサーブレットコンテナー。JBoss Web Server には Apache Tomcat 9 が含まれています。
- Apache tomcat ネイティブライブラリー: Tomcat ライブラリー。Tomcat のスケーラビリティー、パフォーマンス、ネイティブサーバー技術との統合が改善されます。
- Tomcat-vault: JBoss Web Server によって使用されるパスワードおよび他の機密情報をセキュアに保存するために使用される JBoss Web Server の拡張機能。
- mod_cluster ライブラリー: Apache Tomcat と Apache HTTP Server の mod_proxy_cluster モジュール間の通信を可能にするライブラリー。これにより、Apache HTTP Server を JBoss Web サーバーのロードバランサーとして使用できます。mod_cluster の設定、mod_jk および mod_proxy の代替ロードバランサーのインストールおよび設定の詳細は、『HTTP Connectors and Load Balancing Guide』を参照してください。
- Apache 移植可能なランタイム(APR): ネイティブサーバー技術との優れたスケーラビリティー、パフォーマンス、および統合を提供するランタイム。APR は、Apache HTTP Server 2.x の中核となる大変ポータブルなライブラリーです。これにより、高度な IO 機能 (sendfile、epoll、OpenSSL など)、オペレーティングシステムレベルの機能 (例: 乱数生成およびシステム状態、ネイティブプロセス処理 (共有メモリー、NT パイプ、Unix ソケットなど) へのアクセスが可能になります。
- OpenSSL: Secure Sockets Layer (SSL) プロトコルおよび TLS (Transport Layer Security) プロトコルを実装するソフトウェアライブラリー。基本的な暗号化ライブラリーが含まれています。
本リリースの JBoss Web Server では、ライフサイクル更新の品質があり、新しいバージョンにリベースされた主要なコンポーネント、および主要なセキュリティー更新がいくつか含まれています。Tomcat、tomcat-native、および Apache CXF はすべて新しいバージョンにリベースされました。
注記すべき重要な変更として、catalina-ssi.jar ファイルが追加されました。以前のバージョンでは、これらのクラスは catalina.jar および tomcat-embed-core.jar の一部として含まれていました。これらの変更は、未変更の Red Hat JBoss Web Server 設定には影響しません。ただし、JBoss Web Server 5.3 に更新した後に、システムのこれらのファイルの依存関係を確認することが推奨されます。catalina-ssi.jar ファイルには、SsiInvoker によって使用されるコードが含まれ、以下の ssi コマンドに影響します。
- SsiConfig
- SsiEcho
- SsiExec
- SsiFlastMod
- SsiFsize
- SsiInclude
第2章 Red Hat JBoss Web Server 5.3 のインストール
JBoss Web Server 5.3 は、インストールガイドの以下のセクションのいずれかを使用してインストールできます。
第3章 OS/JVM の認定
| オペレーティングシステム | チップセットアーキテクチャー | Java 仮想マシン |
|---|---|---|
| Red Hat Enterprise Linux 8 | x86_64 | Red Hat OpenJDK 1.8.x、Red Hat OpenJDK 11、OracleJDK 11 |
| Red Hat Enterprise Linux 7 | x86_64 | Red Hat OpenJDK 1.8.x、Red Hat OpenJDK 11、Oracle JDK 1.8.x、Oracle JDK 11、IBM JDK 1.8.x |
| Red Hat Enterpries Linux 6 | x86_64、x86 | Red Hat OpenJDK 1.8.x、Oracle JDK 1.8.x、Oracle JDK 11 (x86_64 のみ)、IBM JDK 1.8.x |
| Microsoft Windows 2016 Server | x86_64 | Red Hat OpenJDK 1.8.x、Red Hat OpenJDK 11、Oracle JDK 1.8.x、Oracle JDK 11 |
| Microsoft Windows 2012 Server R2 | x86_64 | Red Hat OpenJDK 1.8.x、Red Hat OpenJDK 11、Oracle JDK 1.8.x、Oracle JDK 11 |
第4章 セキュリティーの修正
この更新には、以下のセキュリティー関連の問題修正が含まれています。
| ID | 影響 | 概要 |
|---|---|---|
| 中程度の影響 | Tomcat: ローカルの特権昇格 | |
| 低度の影響 | Tomcat: FORM 認証の使用時のセッションの修正 | |
| 低度の影響 | Tomcat: Transfer-Encoding ヘッダーを処理するレグレッションにより、HTTP リクエスト smuggling が許可されます。 | |
| 低度の影響 | Tomcat: HTTP リクエストの smuggling を許可する Transfer-Encoding ヘッダーの処理方法 | |
| 中程度の影響 | OpenSSL: SMT/Hyper-Threading アーキテクチャーでのサイドチャネルの脆弱性(PortSmash) |
第5章 解決した問題
| 問題 | 説明 |
|---|---|
| JWS-1055 | インストールガイドの Tomcat Native の説明の改善 |
| JWS-1056 | [Docs] JWS_HOME の追加は RPM ディストリビューションの /opt/rh/jws5/root/usr/share |
| JWS-1113 | RHEL と JWS の Apache Tomcat の相違点を簡単に説明します。 |
| JWS-1306 | Windows および Linux: HTTP/2 での Java_org_apache_tomcat_jni_SSLSocket_handshake の中間的な SIGSEGV |
| JWS-1311 | WebSocket: autobahn テストスイートが echoBasicEndpoint の問題を報告 |
| JWS-1419 | java-headless 要件による OpenJDK のインストールの強制 |
| JWS-1438 | SSI フィルターを設定する追加セットのドキュメント |
| JWS-1450 | tomcat-librarypath.patch ロジックの確認 |
| JWS-1459 | Apache CXF を使用した Tomcat Embedded では Java 11 に対応しない |
| JWS-1463 | [ASF BZ 63356] Authority Information Access エクステンションの解析中に OCSP_parse_url エラー |
| JWS-1465 | tomcat-native の 1.2.23 へのリベース |
| JWS-1468 | tomcat のバージョン 9.0.30 へのリベース |
| JWS-1470 | Apache CXF のバージョン 3.3.2.redhat へのリベース |
| JWS-1478 | rpm install/update が host-manager および Manager アプリケーションの context.xml を上書き |
| JWS-1499 | リリースされた最新の JBCS バージョンに更新 |
| JWS-1579 | CVE の不足している rpm changelog エントリーを追加 |
| JWS-1592 | maven リポジトリーに jar ファイルがない |
| JWS-1593 | Tomcat が起動時に例外をスローする |
| JWS-1594 | Tomcat が更新後にプロキシーを認識できない |
| JWS-1598 | java.lang.NoSuchMethodException で設定の保存に失敗する |
第6章 既知の問題
今回のリリースで既知の問題はありません。
第7章 Red Hat JBoss Web Server 5.3 に含まれるコンポーネント
| コンポーネント | バージョン |
|---|---|
| Apache CXF | 3.3.2 |
| Apache Tomcat 9 | 9.0.30 |
| ECJ | 4.12.0 |
| Hibernate | 5.3.10 |
| JBoss Logging | 3.3.2 |
| libapr | 1.6.3 |
| mod_cluster | 1.4.1.Final |
| OpenSSL | 1.1.1c |
| Tomcat-Native | 1.2.23 |
| Tomcat-Vault | 1.1.8.Final |
