遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2012:1027 公告中提及的多個弱點影響。

    JBoss Application Server 是 JBoss Enterprise Web Platform 的基礎套件，提供核心伺服器元件。Java 命名和目錄介面 (JNDI) Java API 允許 Java 軟體用戶端尋找應用程式伺服器中的物件或服務。Java 容器授權合約 (Java ACC) 規格定義了權限類別，以及容器存取決策與這些權限類別的執行個體作業之間的繫結。JaccAuthorizationRealm 根據 Java ACC 權限和原則實作來執行授權。

    據發現，JBoss JNDI 服務預設允許未經驗證的遠端寫入存取。JNDI 與 HA-JNDI 服務，以及 HAJNDIFactory 叫用程式 servlet 均受到影響。遠端攻擊者若能存取 JNDI 服務 (連接埠 1099)、HA-JNDI 服務 (連接埠 1100)，或 JBoss 伺服器上的 HAJNDIFactory 叫用程式 servlet，便可利用此瑕疵新增、刪除及修改 JNDI 樹狀結構中的項目。這可造成多種應用程式特定的影響。 (CVE-2011-4605)

    當 JBoss 伺服器設定為使用 JaccAuthorizationRealm，WebPermissionMapping 類別會建立不加以檢查的權限，並在不檢查使用者角色的情況下允許使用者的存取權。如果 ignoreBaseDecision 內容在 JBossWebRealm 上設為 true，則由 JBossAuthorizationEngine 專門處理 Web 授權處理程序，無需來自 JBoss Web 的任何輸入。這允許任何有效的使用者存取應用程式，而無需指派在應用程式的 web.xml 安全性限制標籤中指定的角色。 (CVE-2012-1167)

    Red Hat 感謝 Christian Schlter (VIADA) 報告 CVE-2011-4605。

    警告: 套用此更新之前，請先備份 JBoss Enterprise Web Platform 的 server/[PROFILE]/deploy/ 目錄，以及任何其他自訂的設定檔。

    在 Red Hat Enterprise Linux 4、5 和 6 中使用 JBoss Enterprise Web Platform 5.1.2 的使用者應升級至這些更新版套件，其可更正這些問題。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 6：jbossas-web 和 jboss-naming (RHSA-2012:1027)

high Nessus Plugin ID 234417

找不到變更記錄