現已提供適用於 Red Hat Enterprise Linux 6 的更新版 JBoss Enterprise Application Platform 6.0.1 套件，可修正多個安全性問題、各種錯誤，並新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

此版本是 JBoss Enterprise Application Platform 6.0.0 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.0.1 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發佈至 https://access.redhat.com/knowledge/docs/

此更新會移除未使用的已簽署 JAR；移除 JAR MANIFEST.MF 檔案的未使用 SHA1 總和檢查碼，以減少伺服器記憶體使用量；新增 MANIFEST.MF 至先前遺漏的 JAR 檔案；並從主要套件移除多餘的 Javadoc 檔案。(BZ#830291)

安全性修正：

已檢查 Apache CXF，以確保 XML 元素已經由支援 Token 簽署或加密，而非所使用的 token 是否正確。遠端攻擊者可在無適當安全性的情況下傳輸機密資訊，並且可能規避透過 Apache CXF 所公開之 Web 服務的存取控制。(CVE-2012-2379)

使用角色型授權設定 EJB 存取時，應使用 JACC 權限來判斷存取權；不過，由於存在一個瑕疵，因此並未呼叫所設定的授權模組 (JACC、XACML 等等)，而且也未使用 JACC 權限來判斷對 EJB 的存取權。(CVE-2012-4550)

Apache CXF 在用戶端強制執行 WS-SecurityPolicy 1.1 之子原則的方式存在一個瑕疵，在特定情況下，可導致用戶端無法根據安全性原則之指示對特定元素進行簽署或加密，進而造成資訊洩漏和不安全的資訊傳輸。(CVE-2012-2378)

當 IronJacamar 設定為「allow-multiple-users」時，在其驗證認證及傳回有效資料來源連線的方式中發現一個瑕疵。提供正確主旨的遠端攻擊者，可取得可能屬於有權限之使用者的資料來源連線。(CVE-2012-3428)

據發現，在特定情況下，Apache CXF 容易受到 SOAPAction 偽造攻擊影響。請注意，已針對所叫用的作業執行 WS-Policy 驗證，而且必須通過驗證，才能順利發動攻擊。(CVE-2012-3451)

沒有任何角色允許進行 EJB 方法引動過程時，應拒絕所有使用者進行引動過程。據發現，當允許角色之清單為空白時，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法並未正確授權進行所有方法引動過程。(CVE-2012-4549)

據發現，在 Mojarra 中，於應用程式啟動期間所提供的 FacesContext 保留於 ThreadLocal 中。未在所有情況下正確清除參照。因此，如果 JavaServer Faces (JSF) WAR 在應用程式啟動期間呼叫 FacesContext.getCurrentInstance()，另一個 WAR 便可存取剩餘的內容，並且從而得以存取其他 WAR 的資源。本機攻擊者可利用此瑕疵，使用特製、已部署之應用程式存取另一個 WAR 的資源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模組中發現輸入清理瑕疵。遠端攻擊者若能以任意名稱在已啟用 MultiViews 選項的目錄中上傳或建立檔案，便可利用此瑕疵對造訪該網站的使用者發動跨網站指令碼攻擊。(CVE-2008-0455、CVE-2012-2687)

Red Hat 要感謝 Apache CXF 專案報告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 問題是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現；CVE-2012-3428 和 CVE-2012-4549 是由 Red Hat 安全性回應團隊的 Arun Neelicattu 所發現；以及 CVE-2012-2672 是由 Red Hat 的 Marek Schmidt 和 Stan Silvert 所發現。

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

偵測

RHEL 6：JBoss EAP (RHSA-2012:1592)

critical Nessus Plugin ID 64072

找不到變更記錄