RHEL 6：jboss-ec2-eap (RHSA-2018: 0275)

high Nessus Plugin ID 106616

語系：

概要

遠端 Red Hat 主機缺少一個或多個安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 6.4 jboss-ec2-eap 更新。

Red Hat 產品安全性團隊已將此更新評等為具有「重要」安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

jboss-ec2-eap 套件提供適用於 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上執行的 Red Hat JBoss Enterprise Application Platform 的指令碼。

此更新已更新 jboss-ec2-eap 套件，確保與 Red Hat JBoss Enterprise Application Platform 6.4.19 的相容性。

安全性修正：

*據發現，若 Artemis 和 HornetQ 設定了 UDP 探索和 JGroups 探索，便會在收到非預期多點傳播訊息時，建立大量位元組陣列。這可導致堆積記憶體耗盡、GC 已滿或記憶體溢出錯誤。(CVE-2017-12174)

* 在 Tomcat 中發現一個弱點：當將 servlet 內容設定為 readonly=false，且允許 HTTP PUT 要求時，攻擊者可將 JSP 檔案上傳到該內容並執行程式碼。(CVE-2017-12617)

* 在 jboss-remoting 版本 3.3.10.Final-redhat-1 引入 RemoteMessageChannel 的方式中發現一個弱點，會從空緩衝區讀取。攻擊者可利用此缺陷，透過無限迴圈造成 CPU 使用率高，進而導致拒絕服務。(CVE-2018-1041)

CVE-2017-12174 問題是由 Masafumi Miura (Red Hat) 所發現。