RHEL 9:Red Hat JBoss Enterprise Application Platform 7.4.15 (RHSA-2024: 0712)

high Nessus Plugin ID 190091

概要

遠端 Red Hat 主機遺漏一個或多個適用於 Red Hat JBoss Enterprise Application Platform 7.4.15 的安全性更新。

說明

遠端 Redhat Enterprise Linux 9 主機上安裝的套件受到 RHSA-2024: 0712 公告中提及的一個弱點影響。

- 在 Apache Santuario - XML Security for Java 2.2.6 之前、2.3.4 和 3.0.3 的所有版本中使用 JSR 105 API 時,容易發生私密金鑰在產生 XML 簽章時於記錄檔中洩漏的問題,並啟用 debug 層級的記錄。建議使用者升級至 2.2.6、2.3.4 或 3.0.3,即可修正此問題。(CVE-2023-44483)

- Eclipse JGit <= 6.6.0 In Eclipse JGit 中存在任意檔案覆寫問題,而在 <= 6.6.0.202305301015-r 的所有版本中,當使用 JGit 將此存放庫複製到不區分大小寫的檔案系統,或在不區分大小寫的檔案系統上從此類存放庫的複製簽出時,存在於特製 git 存放庫中的符號連結可用來在此情況下將檔案寫入工作樹狀結構之外的位置。簽出 (DirCacheCheckout)、合併 (透過 WorkingTreeUpdater 的 ResolveMerger)、提取 (使用合併的 PullCommand) 以及套用修補程式 (PatchApplier) 時,可能會發生此情形。這可能會遭到惡意利用來執行遠端程式碼 (RCE),例如,在工作樹狀結構之外寫入的檔案是在後續 git 命令上執行的 git 篩選器時。此問題只會出現在不區分大小寫的檔案系統上,例如 Windows 和 macOS 上的預設檔案系統。執行複製或簽出的使用者必須擁有建立符號連結的權限,才會出現此問題,且必須在 git 組態中啟用符號連結。
在簽出前設定 git 組態選項 core.symlinks = false 可避免該問題。此問題已在 Eclipse JGit 6.6.1.202309021850-r 和 6.7.0.202309050840-r 版中修正,可透過 Maven Central https://repo1.maven.org/maven2/org/eclipse/jgit/ 和 repo.eclipse.org https://repo.eclipse.org/content/repositories/jgit-releases/ 取得。從 5.13.3.202401111512-r 開始,可在 5.13.3 中使用反向移植。JGit 維護者要感謝 RyotaK 發現並報告此問題。(CVE-2023-4759)

請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

更新 RHEL Red Hat JBoss Enterprise Application Platform 7.4.15 套件,根據 RHSA-2024: 0712 中的指引。

另請參閱

http://www.nessus.org/u?327e7d12

http://www.nessus.org/u?95a15247

http://www.nessus.org/u?ac28f665

https://access.redhat.com/security/updates/classification/#moderate

https://bugzilla.redhat.com/show_bug.cgi?id=2238614

https://bugzilla.redhat.com/show_bug.cgi?id=2246070

https://issues.redhat.com/browse/JBEAP-25375

https://issues.redhat.com/browse/JBEAP-25616

https://issues.redhat.com/browse/JBEAP-25785

https://issues.redhat.com/browse/JBEAP-25944

https://issues.redhat.com/browse/JBEAP-26013

https://issues.redhat.com/browse/JBEAP-26021

https://issues.redhat.com/browse/JBEAP-26025

https://issues.redhat.com/browse/JBEAP-26049

https://issues.redhat.com/browse/JBEAP-26051

https://issues.redhat.com/browse/JBEAP-26101

https://issues.redhat.com/browse/JBEAP-26115

https://issues.redhat.com/browse/JBEAP-26159

https://issues.redhat.com/browse/JBEAP-26164

https://issues.redhat.com/browse/JBEAP-26169

https://issues.redhat.com/browse/JBEAP-26266

https://access.redhat.com/errata/RHSA-2024:0712

Plugin 詳細資訊

嚴重性: High

ID: 190091

檔案名稱: redhat-RHSA-2024-0712.nasl

版本: 1.2

類型: local

代理程式: unix

已發布: 2024/2/7

已更新: 2024/6/3

支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: High

基本分數: 9

時間分數: 6.7

媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C

CVSS 評分資料來源: CVE-2023-4759

CVSS v3

風險因素: High

基本分數: 8.8

時間分數: 7.7

媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:redhat:enterprise_linux:eap7-hibernate-core, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-common-impl, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-jettison-provider, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-atom-provider, p-cpe:/a:redhat:enterprise_linux:eap7-jbossws-spi, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-validator-provider-11, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-modules, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-validator, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-rxjava2, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-elytron-tool, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-jaxb-provider, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-cdi, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-java-jdk17, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-client, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-multipart-provider, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-java-jdk8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-cert-helper, p-cpe:/a:redhat:enterprise_linux:eap7-log4j2-jboss-logmanager, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-jackson-provider, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-spring, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration, p-cpe:/a:redhat:enterprise_linux:eap7-eclipse-jgit, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-jackson2-provider, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-jsapi, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-java-jdk11, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration-core, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-common-api, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-transaction-client, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-json-p-provider, p-cpe:/a:redhat:enterprise_linux:eap7-glassfish-jsf, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-core-api, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-naming-client, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-jose-jwt, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-core-impl, p-cpe:/a:redhat:enterprise_linux:eap7-protostream, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-yaml-provider, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-deployers-common, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-elytron, p-cpe:/a:redhat:enterprise_linux:eap7-hibernate-envers, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration-cli, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-jaxrs, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-json-binding-provider, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-jdbc, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-common-spi, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-javadocs, p-cpe:/a:redhat:enterprise_linux:eap7-hibernate, p-cpe:/a:redhat:enterprise_linux:eap7-xml-security, p-cpe:/a:redhat:enterprise_linux:eap7-resteasy-crypto, p-cpe:/a:redhat:enterprise_linux:eap7-insights-java-client, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-msc

必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2024/2/7

弱點發布日期: 2023/9/12

參考資訊

CVE: CVE-2023-44483, CVE-2023-4759

CWE: 532

RHSA: 2024:0712