RHEL 7：Red Hat JBoss Enterprise Application Platform 7.4.25 安全性更新 (重要) (RHSA-2026:53644)
critical Nessus Plugin ID 334631
語言:
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。說明
遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2026:53644 公告中提及的多個弱點影響。Red Hat JBoss Enterprise Application Platform 7 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 7.4.25 是 Red Hat JBoss Enterprise Application Platform 7.4.24 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.4.25 版本資訊。
安全性修正：
* netty-codec-redis：Netty：透過惡意 Redis 陣列標頭造成拒絕服務 (CVE-2026-50011)
* netty-handler：Netty：由於 TLS 交握中的急切緩衝區配置而導致的拒絕服務 (CVE-2026-45416)
* netty-codec-redis：netty-codec-redis：透過具有深度巢狀陣列的特製 Redis 承載進行拒絕服務 (CVE-2026-44250)
* netty-codec-redis：netty-codec-redis：透過精心設計的 Redis 承載進行拒絕服務 (CVE-2026-44890)
* netty-transport-sctp：Netty-transport-sctp：由於 SctpMessage 片段的無限記憶體增長而導致的拒絕服務 (CVE-2026-46340)
* netty-resolver-dns：Netty：由於 CNAME 記錄驗證不當，導致資訊洩漏和資料操控 (CVE-2026-45674)
* netty-handler：Netty：信任管理器處理不當會導致繞過主機名稱驗證 (CVE-2026-50010)
* netty-codec-redis：Netty 缺少生命週期清理，導致 RedisArrayAggregator 中的集區 ByteBuf 洩漏 (CVE-2026-48006)
* netty-resolver-dns：Netty 對 NS 記錄的管轄區驗證不足 (CVE-2026-47691)
* netty-codec-haproxy：Netty HAProxy PROXY 通訊協定 v2 編解碼器：透過特製 PROXY 通訊協定標頭的記憶體洩漏造成拒絕服務 (CVE-2026-48059)
* netty-codec-http2：netty-codec-http2：由於資源洩漏而導致的拒絕服務 (CVE-2026-48043)
* netty-codec-haproxy：Netty-codec-haproxy：透過格式錯誤的 HAProxy 訊息造成拒絕服務 (CVE-2026-44893)
* netty-codec-http：Netty：透過格式錯誤的 Transfer-Encoding 剖析進行請求走私 (CVE-2026-42585)
* netty-codec-http2：Netty：透過 HTTP 內容解壓縮中無限記憶體分配造成拒絕服務 (CVE-2026-42587)
* netty-codec-http：Netty：透過 HTTP 內容解壓縮中無限記憶體分配造成拒絕服務 (CVE-2026-42587)
* netty-codec-http：Netty：透過 URI 操控和 CRLF 插入進行 HTTP 要求走私 (CVE-2026-41417)
* netty-handler-proxy：Netty：透過 HttpProxyHandler 停用驗證的 HTTP 標頭插入 (CVE-2026-42578)
* netty-codec-http：Netty：由於不當處理衝突的 HTTP/1.0 標頭而導致 HTTP 要求走私 (CVE-2026-42581)
* netty-codec-http：Netty：不正確的 HTTP 回應剖析導致資料混淆 (CVE-2026-42584)
* netty-codec-dns：Netty：由於不當的 DNS 網域名稱限制強制執行，對完整性造成很大影響 (CVE-2026-42579)
* picketlink-federation：Picketlink SAML unsolicited-response 中的驗證繞過 (CVE-2026-10579)
* bcprov-jdk18on：LDAPStoreHelper.java 中的 LDAP 插入弱點 (CVE-2026-0636)
* bcprov-jdk15on：LDAPStoreHelper.java 中的 LDAP 插入弱點 (CVE-2026-0636)
* bcprov-jdk15：LDAPStoreHelper.java 中的 LDAP 插入弱點 (CVE-2026-0636)
* bcprov-jdk12：LDAPStoreHelper.java 中的 LDAP 插入弱點 (CVE-2026-0636)
* bcpg-jdk18on：不受限制的 PGP AEAD 區塊大小會導致預先驗證資源耗盡 (CVE-2026-3505)
* bcpg-jdk15on：不受限制的 PGP AEAD 區塊大小會導致預先驗證資源耗盡 (CVE-2026-3505)
* cpkix-jdk18on：PKIX 草稿 CompositeVerifier 接受空簽名序列為有效 (CVE-2026-5588)
* bcpkix-jdk15on：PKIX 草稿 CompositeVerifier 接受空簽名序列為有效 (CVE-2026-5588)
* bcprov-jdk18on：GOSTCTR 實作無法正確處理超過 255 個區塊 (CVE-2025-14813)
* bcprov-jdk15on：GOSTCTR 實作無法正確處理超過 255 個區塊 (CVE-2025-14813)
* bcprov-jdk15：GOSTCTR 實作無法正確處理超過 255 個區塊 (CVE-2025-14813)
* bcprov-jdk12：GOSTCTR 實作無法正確處理超過 255 個區塊 (CVE-2025-14813)
* bcprov-jdk15：透過非常數時間比較洩漏私密金鑰 (CVE-2026-5598)
* bcprov-jdk12：透過非常量時間比較 (CVE-2026-5598) 洩漏私密金鑰
* artemis-server：Apache Artemis、Apache ActiveMQ Artemis：由於缺少身份驗證而導致的訊息插入和洩漏 (CVE-2026-27446)
* undertow-core：Undertow：透過 AJP ssl_cert/is_ssl 偽造進行驗證繞過 (CVE-2026-15554)
* wildfly-clustering-infinispan-marshalling：透過 Unfiltered River Unmarshaller 的 Jboss 反序列化 RCE (CVE-2026-15555)
* picketlink-federation：透過缺少判斷提示繞過 picketlink SAML 2.0 驗證 (CVE-2026-15556)
* openjdk-orb：透過 EAP 中的 IIOP 載入未經授權的類別 (CVE-2026-15560)
* undertow-core：透過 EAP 的 Undertow 中分塊尾頭缺少限制導致 OOM (CVE-2026-15561)
* jboss-remoting：jboss-remoting：MessageReader 中的整數溢位會導致預先驗證拒絕服務 (CVE-2026-15562)
* wildfly-iiop-openjdk：EAP 的 IIOP NameService 缺少驗證導致 MITM 或 DoS (CVE-2026-15563)
* jsf-impl：mojarra：EAP JSF 應用程式中透過 ui:include 的 EL 插入實現未經驗證的 RCE (CVE-2026-46581)
* netty-handler：netty-handler：由於遮罩操作不正確，導致繞過 IPv6 子網路規則 (CVE-2026-44249)
* jackson-core：透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 (CVE-2026-68494)
如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。
Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
https://access.redhat.com/errata/RHSA-2026:53644
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=2444320
https://bugzilla.redhat.com/show_bug.cgi?id=2458634
https://bugzilla.redhat.com/show_bug.cgi?id=2458635
https://bugzilla.redhat.com/show_bug.cgi?id=2458638
https://bugzilla.redhat.com/show_bug.cgi?id=2458640
https://bugzilla.redhat.com/show_bug.cgi?id=2458641
https://bugzilla.redhat.com/show_bug.cgi?id=2467540
https://bugzilla.redhat.com/show_bug.cgi?id=2477217
https://bugzilla.redhat.com/show_bug.cgi?id=2477220
https://bugzilla.redhat.com/show_bug.cgi?id=2477224
https://bugzilla.redhat.com/show_bug.cgi?id=2477226
https://bugzilla.redhat.com/show_bug.cgi?id=2477227
https://bugzilla.redhat.com/show_bug.cgi?id=2477232
https://bugzilla.redhat.com/show_bug.cgi?id=2477930
https://bugzilla.redhat.com/show_bug.cgi?id=2480325
https://bugzilla.redhat.com/show_bug.cgi?id=2480601
https://bugzilla.redhat.com/show_bug.cgi?id=2480637
https://bugzilla.redhat.com/show_bug.cgi?id=2482963
https://bugzilla.redhat.com/show_bug.cgi?id=2482965
https://bugzilla.redhat.com/show_bug.cgi?id=2483121
https://bugzilla.redhat.com/show_bug.cgi?id=2483131
https://bugzilla.redhat.com/show_bug.cgi?id=2483133
https://bugzilla.redhat.com/show_bug.cgi?id=2483135
https://bugzilla.redhat.com/show_bug.cgi?id=2483136
https://bugzilla.redhat.com/show_bug.cgi?id=2483138
https://bugzilla.redhat.com/show_bug.cgi?id=2488053
https://bugzilla.redhat.com/show_bug.cgi?id=2488062
https://bugzilla.redhat.com/show_bug.cgi?id=2488081
https://bugzilla.redhat.com/show_bug.cgi?id=2488383
https://bugzilla.redhat.com/show_bug.cgi?id=2488388
https://bugzilla.redhat.com/show_bug.cgi?id=2488391
https://bugzilla.redhat.com/show_bug.cgi?id=2488400
https://bugzilla.redhat.com/show_bug.cgi?id=2488413
https://bugzilla.redhat.com/show_bug.cgi?id=2488429
https://bugzilla.redhat.com/show_bug.cgi?id=2488433
https://bugzilla.redhat.com/show_bug.cgi?id=2488437
https://bugzilla.redhat.com/show_bug.cgi?id=2488439
https://bugzilla.redhat.com/show_bug.cgi?id=2488442
https://bugzilla.redhat.com/show_bug.cgi?id=2511026
https://issues.redhat.com/browse/JBEAP-33515
http://www.nessus.org/u?31eae5d2
Plugin 詳細資訊
嚴重性: Critical
ID: 334631
檔案名稱: redhat-RHSA-2026-53644.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/8/11
已更新: 2026/8/11
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.9
百分位數: 96.81
Vendor
Vendor Severity: Important
CVSS v2
風險因素: Critical
基本分數: 10
時間性分數: 7.8
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2026-42581
CVSS v3
風險因素: Critical
基本分數: 10
時間性分數: 9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2026-47691
CVSS v4
風險因素: Critical
Base Score: 9.9
Threat Score: 9.2
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
CVSS 評分資料來源: CVE-2026-5598
弱點資訊
CPE: cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-cli, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-commons, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-core-client, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-dto, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-hornetq-protocol, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-hqclient-protocol, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-jdbc-store, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-jms-client, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-jms-server, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-journal, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-ra, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-selector, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-server, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-service-extensions, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis-tools, p-cpe:/a:redhat:enterprise_linux:eap7-activemq-artemis, p-cpe:/a:redhat:enterprise_linux:eap7-glassfish-jsf, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-common-api, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-common-impl, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-common-spi, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-core-api, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-core-impl, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-deployers-common, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-jdbc, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar-validator, p-cpe:/a:redhat:enterprise_linux:eap7-ironjacamar, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-annotations, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-core, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-databind, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-datatype-jdk8, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-datatype-jsr310, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-jaxrs-base, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-jaxrs-json-provider, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-jaxrs-providers, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-module-jaxb-annotations, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-modules-base, p-cpe:/a:redhat:enterprise_linux:eap7-jackson-modules-java8, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-remoting, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration-cli, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration-core, p-cpe:/a:redhat:enterprise_linux:eap7-jboss-server-migration, p-cpe:/a:redhat:enterprise_linux:eap7-netty-all, p-cpe:/a:redhat:enterprise_linux:eap7-netty-buffer, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-dns, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-haproxy, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-http2, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-http, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-memcache, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-mqtt, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-redis, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-smtp, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-socks, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-stomp, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec-xml, p-cpe:/a:redhat:enterprise_linux:eap7-netty-codec, p-cpe:/a:redhat:enterprise_linux:eap7-netty-common, p-cpe:/a:redhat:enterprise_linux:eap7-netty-handler-proxy, p-cpe:/a:redhat:enterprise_linux:eap7-netty-handler, p-cpe:/a:redhat:enterprise_linux:eap7-netty-resolver-dns-classes-macos, p-cpe:/a:redhat:enterprise_linux:eap7-netty-resolver-dns, p-cpe:/a:redhat:enterprise_linux:eap7-netty-resolver, p-cpe:/a:redhat:enterprise_linux:eap7-netty-transport-classes-epoll, p-cpe:/a:redhat:enterprise_linux:eap7-netty-transport-classes-kqueue, p-cpe:/a:redhat:enterprise_linux:eap7-netty-transport-native-epoll, p-cpe:/a:redhat:enterprise_linux:eap7-netty-transport-native-unix-common, p-cpe:/a:redhat:enterprise_linux:eap7-netty-transport-sctp, p-cpe:/a:redhat:enterprise_linux:eap7-netty-transport, p-cpe:/a:redhat:enterprise_linux:eap7-netty, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-api, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-bindings, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-common, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-config, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-federation, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-idm-api, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-idm-impl, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-idm-simple-schema, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-impl, p-cpe:/a:redhat:enterprise_linux:eap7-picketlink-wildfly8, p-cpe:/a:redhat:enterprise_linux:eap7-undertow, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-java-jdk11, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-java-jdk8, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-javadocs, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly-modules, p-cpe:/a:redhat:enterprise_linux:eap7-wildfly
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/8/11
弱點發布日期: 2026/3/4
參考資訊
CVE: CVE-2025-14813, CVE-2026-0636, CVE-2026-10579, CVE-2026-15554, CVE-2026-15555, CVE-2026-15556, CVE-2026-15560, CVE-2026-15561, CVE-2026-15562, CVE-2026-15563, CVE-2026-27446, CVE-2026-3505, CVE-2026-41417, CVE-2026-42578, CVE-2026-42579, CVE-2026-42581, CVE-2026-42584, CVE-2026-42585, CVE-2026-42587, CVE-2026-44249, CVE-2026-44250, CVE-2026-44890, CVE-2026-44893, CVE-2026-45416, CVE-2026-45674, CVE-2026-46340, CVE-2026-46581, CVE-2026-47691, CVE-2026-48006, CVE-2026-48043, CVE-2026-48059, CVE-2026-50010, CVE-2026-50011, CVE-2026-5588, CVE-2026-5598, CVE-2026-68494