JBoss Enterprise Application Platform 6.1.0 更新 (RHSA-2013:0833)

high Nessus Plugin ID 66971

語系：

概要

遠端 Red Hat 主機缺少安全性更新。

說明

遠端系統上執行的 JBoss Enterprise Application Platform 6.0.1 版本受到下列問題影響：

- 在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，可能遭受攔截式攻擊。瑕疵位於 org.apache.catalina.connector.Response.encodeURL() 方法中。攻擊者可利用此瑕疵，取得使用者的　jsessionid 並劫持其工作階段。
(CVE-2012-4529)

- 如果有多個應用程式使用相同的自訂授權模組類別名稱，則本機攻擊者可部署將允許或拒絕使用者存取的惡意應用程式授權模組。(CVE-2012-4572)

- XML 加密回溯相容性攻擊可允許攻擊者強制伺服器使用不安全的舊式密碼系統。(CVE-2012-5575)

- 存在一個 NULL 指標解除參照瑕疵，可允許惡意 OCSP 損毀執行 OCSP 驗證的應用程式。
(CVE-2013-0166)

- 存在一個 OpenSSL 洩漏定時資訊問題，可允許遠端攻擊者從加密的封包中擷取純文字。(CVE-2013-0169)

- JBoss Enterprise Application Platform 的系統管理員密碼和 sucker 密碼會儲存在任何人皆可讀取的自動安裝 XML 檔案中，其由 GUI 安裝程式建立。(CVE-2013-0218)

- Tomcat 未正確處理特定驗證要求。遠端攻擊者可利用此瑕疵，插入能以受害者認證執行的要求。(CVE-2013-2067)