遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2018:1450 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。

    此 Red Hat JBoss Enterprise Application Platform 6.4.20 版本是 Red Hat JBoss Enterprise Application Platform 6.4.19 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。

    安全性修正：

    * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 的修正不完整) (CVE-2017-15095)

    * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-15095 的修正不完整) (CVE-2017-17485)

    * slf4j：EventData 建構函式中的反序列化弱點可導致任意程式碼執行 (CVE-2018-8088)

    * Apache ActiveMQ Artemis：不受信任輸入的還原序列化弱點 (CVE-2016-4978)

    * solr：透過索引覆寫 HTTP API 進行目錄遊走 (CVE-2017-3163)

    * tomcat：在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩露 (CVE-2018-1304)

    * jackson-databind：CVE-2017-7525 的修正不完整導致可透過 c3p0 程式庫進行不安全的序列化 (CVE-2018-7489)

    如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    Red Hat 感謝 Liao Xinxi (NSFOCUS) 報告 CVE-2017-15095；0c0c0f (來自 360) 報告 CVE-2017-17485；以及 Chris McCown 報告 CVE-2018-8088。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 5：Red Hat JBoss Enterprise Application Platform 6.4.20 (RHSA-2018:1450)

critical Nessus Plugin ID 233045

版本 1.1