RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)
critical Nessus Plugin ID 206210
語系：
概要
遠端 Red Hat 主機遺漏一個或多個適用於 RHEL 7 上 Red Hat JBoss Enterprise Application Platform 7.1.7 的安全性更新。說明
遠端 Redhat Enterprise Linux 7 主機上安裝的多個套件受到 RHSA-2024:5856 公告中提及的多個弱點影響。Red Hat JBoss Enterprise Application Platform 7 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 7.1.7 是 Red Hat JBoss Enterprise Application Platform 7.1.6 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.1.7 版本資訊。
安全性修正：
* undertow：EAP：未依照 RFC7230 剖析欄位名稱 [eap-7.1.z] (CVE-2020-1710)
* commons-beanutils：apache-commons-beanutils：未預設隱藏 PropertyUtilsBean 中的類別屬性 [eap-7.1.z] (CVE-2019-10086)
* log4j：應用程式設定為使用 JMSSink 時，Log4j 1.x 中將出現遠端程式碼執行問題 [eap-7.1.z] (CVE-2022-23302)
* jackson-databind：預設輸入處理不當導致遠端程式碼執行 [eap-7.1.z] (CVE-2019-14379)
* undertow：HTTP/2：使用 HEADERS 框架的溢流導致記憶體無限增長 [eap-7.1.z] (CVE-2019-9514)
* undertow：AJP 檔案讀取/包含弱點 [eap-7.1.z] (CVE-2020-1745)
* undertow：HTTP/2：大量的資料要求導致拒絕服務 [eap-7.1.z] (CVE-2019-9511)
* undertow：servletPath 未經正確標準化，可造成危險的應用程式對應，進而可導致安全機制迴避 [eap-7.1.z] (CVE-2020-1757)
* undertow：在接聽 HTTPS 的 Undertow HTTP 伺服器中可能發生拒絕服務 (DOS) [eap-7.1.z] (CVE-2019-14888)
* log4j：Chainsaw 記錄檢視器中的不安全還原序列化缺陷 [eap-7.1.z] (CVE-2022-23307)
* netty：HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭 [eap-7.1.z] (CVE-2019-20445)
* log4j：應用程式設定為使用 JMSAppender 時，Log4j 1.x 中將出現遠端程式碼執行問題 [eap-7.1.z] (CVE-2021-4104)
* undertow：HTTP/2：使用 SETTINGS 框架的溢流導致記憶體無限增長 [eap-7.1.z] (CVE-2019-9515)
* infinispan-core：infinispan：ReflectionUtil 類別的 invokeAccessibly 方法允許叫用私密方法 [eap-7.1.z] (CVE-2019-10174)
* log4j：應用程式設定為使用 JDBCAppender 時，Log4j 1.x 中將出現 SQL 插入問題 [eap-7.1.z] (CVE-2022-23305)
* jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 [eap-7.1.z] (CVE-2019-12384)
* wildfly-security-manager：安全性管理員授權繞過 (CVE-2019-14843)
* HTTP/2：使用 PING 框架的溢流，會導致無限的記憶體增長 (CVE-2019-9512)
* netty：未正確處理 HTTP 標頭冒號前的空格而導致 HTTP 要求走私 (CVE-2019-16869)
* jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)
* netty：HTTP 要求走私 (CVE-2019-20444)
如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。
Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
根據 RHSA-2024:5856 中的指南更新 RHEL 7 上的 RHEL Red Hat JBoss Enterprise Application Platform 7.1.7 套件。另請參閱
https://access.redhat.com/security/updates/classification/#important
http://www.nessus.org/u?2684bd9c
http://www.nessus.org/u?690e43fa
https://bugzilla.redhat.com/show_bug.cgi?id=1703469
https://bugzilla.redhat.com/show_bug.cgi?id=1725807
https://bugzilla.redhat.com/show_bug.cgi?id=1735645
https://bugzilla.redhat.com/show_bug.cgi?id=1735744
https://bugzilla.redhat.com/show_bug.cgi?id=1735745
https://bugzilla.redhat.com/show_bug.cgi?id=1737517
https://bugzilla.redhat.com/show_bug.cgi?id=1741860
https://bugzilla.redhat.com/show_bug.cgi?id=1752770
https://bugzilla.redhat.com/show_bug.cgi?id=1752980
https://bugzilla.redhat.com/show_bug.cgi?id=1758619
https://bugzilla.redhat.com/show_bug.cgi?id=1767483
https://bugzilla.redhat.com/show_bug.cgi?id=1772464
https://bugzilla.redhat.com/show_bug.cgi?id=1775293
https://bugzilla.redhat.com/show_bug.cgi?id=1793970
https://bugzilla.redhat.com/show_bug.cgi?id=1798509
https://bugzilla.redhat.com/show_bug.cgi?id=1798524
https://bugzilla.redhat.com/show_bug.cgi?id=1807305
https://bugzilla.redhat.com/show_bug.cgi?id=2031667
https://bugzilla.redhat.com/show_bug.cgi?id=2041949
https://bugzilla.redhat.com/show_bug.cgi?id=2041959
https://bugzilla.redhat.com/show_bug.cgi?id=2041967
https://issues.redhat.com/browse/JBEAP-24826
Plugin 詳細資訊
嚴重性: Critical
ID: 206210
檔案名稱: redhat-RHSA-2024-5856.nasl
版本: 1.2
類型: local
代理程式: unix
已發布: 2024/8/26
已更新: 2024/8/26
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 9
時間分數: 7
媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2022-23307
CVSS v3
風險因素: Critical
基本分數: 9.8
時間分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2022-23305
弱點資訊
CPE: cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan, p-cpe:/a:redhat:enterprise_linux:eap7-netty, p-cpe:/a:redhat:enterprise_linux:eap7-log4j-jboss-logmanager, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-modules, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-client-hotrod, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-commons, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-core, p-cpe:/a:redhat:enterprise_linux:eap7-undertow, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-cachestore-remote, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-elytron, p-cpe:/a:redhat:enterprise_linux:eap7-netty-all, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly, p-cpe:/a:redhat:enterprise_linux:eap7-infinispan-cachestore-jdbc, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-databind, p-cpe:/a:redhat:enterprise_linux:eap7-apache-commons-beanutils
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2024/8/26
弱點發布日期: 2019/6/24
參考資訊
CVE: CVE-2019-10086, CVE-2019-10174, CVE-2019-12384, CVE-2019-14379, CVE-2019-14843, CVE-2019-14888, CVE-2019-16869, CVE-2019-17531, CVE-2019-20444, CVE-2019-20445, CVE-2019-9511, CVE-2019-9512, CVE-2019-9514, CVE-2019-9515, CVE-2020-1710, CVE-2020-1745, CVE-2020-1757, CVE-2021-4104, CVE-2022-23302, CVE-2022-23305, CVE-2022-23307