現已提供適用於 JBoss Enterprise Application Platform (JBoss EAP) 4.2 和 4.3 的更新版 jbossweb 套件，可修正多種安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。

JBoss Web Server (jbossweb) 是一個專為中型與大型應用程式設計之可供企業使用的 Web 伺服器，其以 Apache Tomcat 為基礎，且內嵌到 JBoss Application Server 中。它為組織提供 JavaServer Pages (JSP) 與 Java Servlet 技術、Microsoft® .NET、PHP 與 CGI 的單一部署平台。

當搭配 servlet 或 JSP 使用 RequestDispatcher 時發現遊走弱點。遠端攻擊者可利用特製要求參數存取受保護的 web 資源。(CVE-2008-2370)

當啟動「allowLinking」與「URIencoding」設定時發現其他遊走弱點。遠端攻擊者可利用 UTF-8 編碼的要求擴展其權限並取得 jbossweb 處理程序的本機檔案存取權。
(CVE-2008-2938)

jbossweb 的使用者應升級至此更新版套件，其中包含可解決這些問題的反向移植修補程式。

偵測

RHEL 4 / 5：jbossweb (RHSA-2008:0877)

medium Nessus Plugin ID 63868

找不到變更記錄