遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:0834 公告中提及的多個弱點影響。

    JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

    此版本是 JBoss Enterprise Application Platform 6.0.1 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.1.0 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發布至 https://access.redhat.com/site/documentation/

    安全性更新：

    在多種架構中發現 XML 加密回溯相容性攻擊，其中包括 Apache CXF。即使已在端點上啟用安全密碼系統，攻擊者還是可強制伺服器使用不安全的舊式密碼系統。強制使用舊式密碼系統時，將會暴露 CVE-2011-1096 和 CVE-2011-2487 之類的瑕疵，這些瑕疵允許從密碼系統和對稱金鑰復原純文字。(CVE-2012-5575)

    注意：只有在使用 WS-SecurityPolicy 強制執行安全性需求時，才會執行防止 CVE-2012-5575 的自動檢查。最佳做法是使用 WS-SecurityPolicy 強制執行安全需求。

    在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，org.apache.catalina.connector.Response.encodeURL() 方法會在處理工作階段的第一個要求時，傳回附加 jsessionid 的 URL，做為查詢字串參數。攻擊者可能惡意利用此瑕疵，方法是，透過執行攔截式攻擊取得使用者的 jsessionid 並劫持其工作階段，或是透過從記錄檔擷取 jsessionid。請注意，預設不使用任何工作階段追蹤方法，但是必須設定一個。(CVE-2012-4529)

    如果多個應用程式使用相同的自訂授權模組類別名稱，並提供自己的實作，則要載入的第一個應用程式會使用相同的自訂授權模組類別名稱，將其實作用於其他所有應用程式。本機攻擊者可利用此瑕疵部署提供自訂授權模組實作的惡意應用程式，而且這些模組會根據攻擊者所提供的規則，允許或拒絕使用者存取。(CVE-2012-4572)

    Red Hat 要感謝 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 報告 CVE-2012-5575。
    CVE-2012-4572 是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現。

    警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。
    如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

    建議所有在 Red Hat Enterprise Linux 6 上使用 JBoss Enterprise Application Platform 6.0.1 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 6：JBoss 企業應用程式平台 6.1.0 版更新 (重要) (RHSA-2013:0834)

medium Nessus Plugin ID 66522

找不到變更記錄