現已提供適用於 Red Hat Enterprise Linux 5 的更新版 JBoss Enterprise Application Platform 6.1.0 套件，可修正三個安全性問題、多個錯誤，並新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

此版本是 JBoss Enterprise Application Platform 6.0.1 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.1.0 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發佈至 https://access.redhat.com/site/documentation/

安全性修正：

在多個架構中發現 XML 加密回溯相容性攻擊，包括 Apache CXF。即使已在端點上啟用安全密碼系統，攻擊者還是可強制伺服器使用不安全的舊式密碼系統。強制使用舊式密碼系統時，將會暴露 CVE-2011-1096 和 CVE-2011-2487 之類的瑕疵，這些瑕疵允許從密碼系統和對稱金鑰復原純文字。(CVE-2012-5575)

注意：只有在使用 WS-SecurityPolicy 強制執行安全性需求時，才會執行防止 CVE-2012-5575 的自動檢查。最好的做法是使用 WS-SecurityPolicy 強制執行安全性需求。

在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，org.apache.catalina.connector.Response.encodeURL() 方法會在處理工作階段的第一個要求時，傳回附加 jsessionid 的 URL，做為查詢字串參數。攻擊者可能惡意利用此瑕疵，方法是，透過執行攔截式攻擊取得使用者的 jsessionid 並劫持其工作階段，或是透過從記錄檔擷取 jsessionid。請注意，預設不使用任何工作階段追蹤方法，但是必須設定一個。(CVE-2012-4529)

如果多個應用程式使用相同的自訂授權模組類別名稱，並提供自己的實作，則要載入的第一個應用程式會使用相同的自訂授權模組類別名稱，將其實作用於其他所有應用程式。本機攻擊者可利用此瑕疵部署提供自訂授權模組實作的惡意應用程式，而且這些模組會根據攻擊者所提供的規則，允許或拒絕使用者存取。(CVE-2012-4572)

Red Hat 要感謝 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 報告 CVE-2012-5575。
CVE-2012-4572 是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現。

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

建議所有在 Red Hat Enterprise Linux 5 上使用 JBoss Enterprise Application Platform 6.0.1 的使用者皆升級至這些更新版套件。
必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

偵測

RHEL 5：JBoss EAP (RHSA-2013:0839)

medium Nessus Plugin ID 66523

找不到變更記錄