RHEL 4 / 5 / 6：jbossas 和 jboss-naming (RHSA-2012:1026)
high Nessus Plugin ID 64043
語系：
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。說明
現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 之 JBoss Enterprise Application Platform 5.1.2 的更新版 jbossas 和 jboss-naming 套件，可修正兩個安全性問題。Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。
JBoss Application Server 是一個適用於 JBoss Enterprise Application Platform 的基礎套件，其中提供核心伺服器元件。Java 命名和目錄介面 (JNDI) Java API 允許 Java 軟體用戶端尋找應用程式伺服器中的物件或服務。Java 容器授權合約 (Java ACC) 規格定義了權限類別，以及容器存取決策與這些權限類別的執行個體作業之間的繫結。
JaccAuthorizationRealm 根據 Java ACC 權限和原則實作來執行授權。
據發現，JBoss JNDI 服務預設允許未經驗證的遠端寫入存取。JNDI 與 HA-JNDI 服務，以及 HAJNDIFactory 叫用程式 servlet 均受到影響。遠端攻擊者若能存取 JNDI 服務 (連接埠 1099)、HA-JNDI 服務 (連接埠 1100)，或 JBoss 伺服器上的 HAJNDIFactory 叫用程式 servlet，便可利用此瑕疵新增、刪除及修改 JNDI 樹狀結構中的項目。這可造成各種應用程式特有的影響。(CVE-2011-4605)
當 JBoss 伺服器設定為使用 JaccAuthorizationRealm，WebPermissionMapping 類別會建立不加以檢查的權限，並在不檢查使用者角色的情況下允許使用者的存取權。如果 ignoreBaseDecision 內容在 JBossWebRealm 上設為 true，則由 JBossAuthorizationEngine 專門處理 Web 授權處理程序，無需來自 JBoss Web 的任何輸入。這可允許任何有效的使用者無需被指派應用程式的 web.xml「security-constraint」標籤中指定的角色，即可存取應用程式。(CVE-2012-1167)
Red Hat 要感謝 Christian Schlüter (VIADA) 報告 CVE-2011-4605。
警告：套用此更新之前，請先備份 JBoss Enterprise Application Platform 的「server/[PROFILE]/deploy/」目錄，以及所有其他自訂的組態檔。
在 Red Hat Enterprise Linux 4、5 和 6 中使用 JBoss Enterprise Application Platform 5.1.2 的使用者應升級至這些更新版套件，以更正這些問題。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。
解決方案
更新受影響的套件。另請參閱
http://www.nessus.org/u?af997990
https://access.redhat.com/errata/RHSA-2012:1026
https://access.redhat.com/security/updates/classification/#important
Plugin 詳細資訊
嚴重性: High
ID: 64043
檔案名稱: redhat-RHSA-2012-1026.nasl
版本: 1.20
類型: local
代理程式: unix
已發布: 2013/1/24
已更新: 2024/4/27
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: High
基本分數: 7.5
時間分數: 5.5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2011-4605
CVSS v3
風險因素: High
基本分數: 7.3
時間分數: 6.4
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/o:redhat:enterprise_linux:4, p-cpe:/a:redhat:enterprise_linux:jboss-naming, p-cpe:/a:redhat:enterprise_linux:jbossas, p-cpe:/a:redhat:enterprise_linux:jbossas-client, p-cpe:/a:redhat:enterprise_linux:jbossas-messaging, p-cpe:/a:redhat:enterprise_linux:jbossas-ws-native, cpe:/o:redhat:enterprise_linux:5, cpe:/o:redhat:enterprise_linux:6
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
修補程式發佈日期: 2012/6/20
弱點發布日期: 2012/11/23
參考資訊
CVE: CVE-2011-4605, CVE-2012-1167