遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2026:70228 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 8 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 8.1.8 是 Red Hat JBoss Enterprise Application Platform 8.1.7 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 8.1.8 版本資訊。

    安全性修正：

    * jackson-core： jackson-core： 透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * netty-codec-http2： Netty：透過 SPDY 轉 HTTP 編解碼器中的記憶體耗盡造成拒絕服務 [eap-8.1.z] （CVE-2026-56745）

    * netty-handler： Netty：透過 OpenSSL 用戶端路徑設定錯誤繞過 TLS 主機名稱驗證 [eap-8.1.z] （CVE-2026-62243）

    * bcpg-jdk18on： Bouncy Castle for Java：由於不受限制的 OpenPGP 使用者屬性子封包長度而導致的拒絕服務 [eap-8.1.z] （CVE-2026-59649）

    * jackson-databind： jackson-databind： 忽略的屬性可能會被意外修改 [eap-8.1.z] （CVE-2026-54515）

    * jackson-databind： Jackson-databind： 透過不當處理@JsonUnwrapped屬性導致權限提升 [eap-8.1.z] （CVE-2026-59889）

    * netty-codec-dns： netty：網域名稱格式錯誤的 DNS 記錄解碼器中記憶體洩漏造成拒絕服務 [eap-8.1.z] （CVE-2026-73508）

    * jboss-eap.1-runtime-maven-repository.zip： jackson-core：透過非同步 JSON 剖析器中不完整的修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * jboss-eap-runtime-maven-repository.zip： jackson-core：透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * bcprov-jdk18on：不受限制的 PGP AEAD 區塊大小導致預先驗證資源耗盡 [eap-8.1.z] （CVE-2026-3505）

    * brace-expansion： brace-expansion： 透過無限中間陣列造成拒絕服務 [eap-8.1.z] （CVE-2026-69152）

    * netty-codec-http： Netty： netty-codec-http 中的記憶體耗盡（解壓縮炸彈） [eap-8.1.z] （CVE-2026-59899）

    * netty-codec-http： Netty： 安全性控制繞過允許透過 null 來源標頭提出未經授權的要求 [eap-8.1.z] （CVE-2026-56746）

    * netty-codec-http： Netty：透過 SPDY-to-HTTP 編解碼器中的記憶體耗盡造成拒絕服務 [eap-8.1.z] （CVE-2026-56745）

    * netty-codec-http： netty：透過 SPDY SETTINGS 框架處理的拒絕服務 [eap-8.1.z] （CVE-2026-55831）

    * netty-codec-http： netty：透過 SPDY 標頭解壓縮放大的拒絕服務 [eap-8.1.z] （CVE-2026-55833）

    * jackson-databind： Jackson-databind： 安全繞過允許任意程式碼執行 [eap-8.1.z] （CVE-2026-54513）

    * jackson-databind： jackson-databind： 透過 PolymorphicTypeValidator 繞過任意程式碼執行 [eap-8.1.z] （CVE-2026-54512）

    * undertow-core：透過過大區塊大小位元重疊走私 Undertow：HTTP 要求 [eap-8.1.z] （CVE-2026-14180）

    * artemis-server： artemis-server： 透過 channel0 上的 CORE SUBSCRIBE_TOPOLOGY_V2 洩露預先驗證拓撲 [eap-8.1.z] （CVE-2026-49363）

    * undertow-websockets-jsr： undertow：使用任何@OnMessage方法在具有@ServerEndpoint類別的 websocket 端點上進行預先驗證 DoS [eap-8.1.z] （CVE-2026-15565）

    * wildfly-iiop-openjdk： Wildfly：IIOP 接聽程式上的預先驗證拒絕服務 [eap-8.1.z] （CVE-2026-15567）

    * cxf-rt-transports-jms： Apache CXF： 透過不受信任的 JMS 組態執行任意程式碼 [eap-8.1.z] （CVE-2026-50632）

    * cxf-core：Apache CXF：由於缺少 JAXP 強化，透過頻外外部實體解析洩露資訊 [eap-8.1.z] （CVE-2026-49875）

    * wildfly-elytron-asn1：透過特製的 DER 負載，在 WildFly Elytron ASN.1 DERDecoder 中進行無限記憶體分配 [eap-8.1.z] （CVE-2026-10832）

    * cxf-rt-transports-jms： Apache CXF：透過不受信任的 JMS 組態執行遠端程式碼 [eap-8.1.z] （CVE-2026-44417）

    * wildfly-elytron-realm-token：EAP 的 elytron oauth2 中的參數插入 [eap-8.1.z] （CVE-2026-85511）

    * jakarta.faces： mojarra：透過 ui：include 中的 EL 插入，EAP JSF 應用程式中未經身份驗證的 RCE [eap-8.1.z] （CVE-2026-46581）

    * wildfly-iiop-openjdk：缺少 EAP 的 IIOP NameService 驗證會導致 MITM 或 DoS [eap-8.1.z] （CVE-2026-15563）

    * jboss-remoting： jboss-remoting：MessageReader 中的整數溢位導致預先驗證拒絕服務 [eap-8.1.z] （CVE-2026-15562）

    * undertow-core：透過 EAP 的 Undertow 中區塊預告片中缺少限制的 OOM [eap-8.1.z] （CVE-2026-15561）

    * openjdk-orb：在 EAP 中透過 IIOP 載入未經授權的類別 [eap-8.1.z] （CVE-2026-15560）

    * artemis-server：透過缺少驗證的 Apache Artemis 工作階段劫持 [eap-8.1.z] （CVE-2026-57967）

    * wildfly-clustering-infinispan-marshalling：透過 Unfiltered River Unmarshaller 的 Jboss 反序列化 RCE [eap-8.1.z] （CVE-2026-15555）

    * undertow-core： Undertow：透過 AJP ssl_cert/is_ssl 偽造繞過身份驗證 [eap-8.1.z] （CVE-2026-15554）

    * jgroups：透過 JGROUPS 詐騙洩露 Artemis 叢集密碼 [eap-8.1.z] （CVE-2026-49364）

    * artemis-server：artemis 核心通訊協定允許建立未經授權的佇列 [eap-8.1.z] （CVE-2026-49362）

    * artemis-server：Red Hat EAP 中的 artemis 訊息處理常式預設允許反序列化 [eap-8.1.z] （CVE-2026-86404）

    * undertow-core： Undertow：透過 WebSocket permessage-deflate 處理的拒絕服務 [eap-8.1.z] （CVE-2026-5680）

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 8：Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70228)

high Nessus Plugin ID 348800

版本 1.3

版本 1.2

版本 1.1

版本 1.3 Sep 30, 2026, 4:36 PM CVSS metrics ("Cvssv4 supplemental" set to "CVSS:4.0/U:Amber") Plugin Feed: 202609301636
版本 1.2 Sep 25, 2026, 6:49 PM Plugin metadata (Add IAVM Info) Plugin Feed: 202609251849
版本 1.1 Sep 22, 2026, 9:09 PM New Plugin Feed: 202609222109