RHEL 4 / 5：jbossweb (RHSA-2010:0584)

medium Nessus Plugin ID 63942

語系：

概要

遠端 Red Hat 主機缺少安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 4 和 5 之 JBoss Enterprise Application Platform 4.2 和 4.3 的更新版 jbossweb 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Web 是一種在 JBoss Enterprise Application Platform 中以 Apache Tomcat 為基礎的 Web 容器。其為 JavaServer Pages (JSP) 與 Java Servlet 技術、Microsoft® .NET、PHP 與 CGI 提供單一部署平台。

在 JBoss Web 處理 HTTP 要求中 Transfer-Encoding 標頭的方式中發現一個瑕疵。特製的 HTTP 要求可防止 JBoss Web 針對所有後續的 HTTP 要求傳送回覆，或使 JBoss Web 傳回截斷的回覆，或包含與其他使用者要求相關資料的回覆。(CVE-2010-2227)

在 JBoss Web 產生 HTTP BASIC 和 DIGEST 驗證要求的方式中發現一個可能次要的資訊洩漏。對於未指定領域名稱且透過 Proxy 存取 JBoss Web 的組態，預設產生的領域包含 Proxy 用來將要求傳送至 JBoss Web 伺服器的主機名稱和連接埠。(CVE-2010-1157)

JBoss Web 使用者應升級至此更新版套件，其可將 JBoss Web 升級至 2.0.0.CP14 版，並解決這些問題。
必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。