現已提供適用於 Red Hat OpenShift Enterprise 1.2.7 的更新版 activemq 套件，可修正多個安全性問題。Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Apache ActiveMQ 提供 SOA 基礎架構以連線所有異質系統的程序。在 Apache Camel 的 FILE_NAME 標頭剖析中發現一個缺陷。能夠將訊息提交到 Camel 路由並將提供的訊息寫入檔案的遠端攻擊者可在 FILE_NAME 標頭中提供將在伺服器上進行評估的運算式語言 (EL) 運算式。這可導致在 Camel 伺服器處理程序的內容中執行任意遠端程式碼。(CVE-2013-4330) 據發現，Apache Camel XSLT 元件允許 XSL 樣式表呼叫外部 Java 方法。能夠將訊息提交到 Camel 路由的遠端攻擊者可利用此缺陷，在 Camel 伺服器處理程序的內容中執行任意遠端程式碼。(CVE-2014-0003) 據發現，使用 JAXB 取消封送處理器時，Spring OXM 包裝函式並未暴露停用實體解析的任何內容。遠端攻擊者可利用此缺陷，在網站上發動 XML 外部實體 (XXE) 攻擊，並在執行應用程式伺服器之使用者的內容中讀取檔案。此缺陷的修補程式預設會停用外部實體處理，並提供組態指示詞來重新啟用它。(CVE-2013-4152) 當原生程式庫隨附於 JAR 檔案中，且沒有指定自訂程式庫路徑時，HawtJNI 程式庫類別將原生程式庫寫入 /tmp/ 中可預測的檔案名稱。在 HawtJNI 寫入這些原生程式庫到它們執行前的這段時間內，本機攻擊者可以惡意的版本覆寫這些程式庫。(CVE-2013-2035) CVE-2013-2035 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現的；CVE-2014-0003 問題則是由 Red Hat 安全性回應團隊的 David Jorm 所發現的。建議 Red Hat OpenShift Enterprise 1.2.7 的所有使用者皆升級至此更新版套件，其可更正這些問題。

偵測

RHEL 6：activemq (RHSA-2014:0254)

high Nessus Plugin ID 119347

找不到變更記錄