現已提供適用於 Red Hat Enterprise Linux 4 之 JBEAP 4.3.0.CP07 的更新版 JBoss Enterprise Application Platform (JBEAP) 4.3 套件，可修正多個安全性問題、數個錯誤，並新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

JBoss Enterprise Application Platform 是一個適用於創新與可擴充之 Java 應用程式的業界領先平台；將 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 整合成一個完整、簡單的企業解決方案。

此適用於 Red Hat Enterprise Linux 4 的 JBEAP 版本是 JBEAP 4.3.0.CP06 的替代版本。

這些更新版套件近期將可從以下連結取得，包含錯誤修正和增強功能 (如版本資訊詳述)：
http://www.redhat.com/docs/en-US/JBoss_Enterprise_Application_Platform/

此版本也已修正以下安全性問題：

在 xml-security 中發現，遺漏了檢查 HMAC 型 XML 簽章之截斷表單的最短建議長度。攻擊者可利用此瑕疵建立偽造 XML 簽章的特製 XML 檔案，允許攻擊者繞過以 XML 簽章規格為基礎的驗證。
(CVE-2009-0217)

Swatej Kumar 在 JBoss Application Server Web 主控台中，發現數個跨網站指令碼 (XSS) 瑕疵。攻擊者可利用這些瑕疵，將誤導資料顯示給經過驗證的使用者，或在經過驗證之使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2009-2405)

在 Apache Xerces2 Java 剖析器處理 DTD 之 SYSTEM 識別碼的方式中發現一個瑕疵。遠端攻擊者可提供特製的 XML 檔案，一旦使用 Apache Xerces2 Java 剖析器的應用程式將之剖析後，會導致拒絕服務 (應用程式因 CPU 使用率過高而當機)。(CVE-2009-2625)

在 twiddle 命令行用戶端中發現一個資訊洩漏瑕疵。
以純文字將 JMX 密碼註冊於「twiddle.log」。
(CVE-2009-3554)

在 JMX 主控台中發現一個 XSS 瑕疵。攻擊者可利用此瑕疵，將誤導資料顯示給經過驗證的使用者，或在經過驗證之使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2009-1380)

警告：套用此更新之前，請先備份 JBEAP 「server/[configuration]/deploy/」目錄，以及任何其他自訂的組態檔。

建議 Red Hat Enterprise Linux 4 上的所有 JBEAP 4.3 使用者皆升級至這些更新版套件。

偵測

RHEL 4：JBoss EAP (RHSA-2009:1636)

medium Nessus Plugin ID 63903

找不到變更記錄