現已提供適用於 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 6.4 更新

Red Hat 產品安全性團隊已將此更新評等為具有「重要」安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。

此 Red Hat JBoss Enterprise Application Platform 6.4.19 版本是 Red Hat JBoss Enterprise Application Platform 6.4.18 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。

安全性修正：

*據發現，若 Artemis 和 HornetQ 設定了 UDP 探索和 JGroups 探索，便會在收到非預期多點傳播訊息時，建立大量位元組陣列。這可導致堆積記憶體耗盡、GC 已滿或記憶體溢出錯誤。(CVE-2017-12174)

* 在 Tomcat 中發現一個弱點：當將 servlet 內容設定為 readonly=false，且允許 HTTP PUT 要求時，攻擊者可將 JSP 檔案上傳到該內容並執行程式碼。(CVE-2017-12617)

* 在 jboss-remoting 版本 3.3.10.Final-redhat-1 引入 RemoteMessageChannel 的方式中發現一個弱點，會從空緩衝區讀取。攻擊者可利用此缺陷，透過無限迴圈造成 CPU 使用率高，進而導致拒絕服務。(CVE-2018-1041)

CVE-2017-12174 問題是由 Masafumi Miura (Red Hat) 所發現。

偵測

RHEL 6：JBoss EAP (RHSA-2018: 0270)

high Nessus Plugin ID 106651

版本 3.14