遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:1208 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    此版本將作為 Red Hat JBoss Enterprise Application Platform 6.1.0 的取代套件，其中包含錯誤修正和增強功能。請參閱 6.1.1 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發布至 https://access.redhat.com/site/documentation/

    安全性更新：

    在 mod_info、mod_status、mod_imagemap、mod_ldap 和 mod_proxy_ftp 模組中發現跨網站指令碼 (XSS) 瑕疵。如果攻擊者能夠使受害者的瀏覽器以特製的主機標頭產生 HTTP 要求，他們就可能利用這些缺陷執行 XSS 攻擊。(CVE-2012-3499)

    在 mod_proxy_balancer 模組的管理員 Web 介面中，發現多個跨網站指令碼 (XSS) 瑕疵。如果遠端攻擊者可誘騙已登入管理員 Web 介面的使用者造訪特製的 URL，這會導致在使用者的管理員介面工作階段的內容中執行任意 Web 指令碼。(CVE-2012-4558)

    在 mod_dav 模組處理合併要求的方式中發現一個瑕疵。攻擊者可利用此缺陷傳送特製的合併要求，其中含有尚未設定 DAV 的 URI，可能會導致 httpd 子處理程序損毀。(CVE-2013-1896)

    在 Apache Santuario XML Security for Java 用於驗證 XML 簽章的方式中發現一個瑕疵。Santuario 允許簽章指定任意標準化演算法，該演算法會套用到 SignedInfo XML 片段。遠端攻擊者可利用此瑕疵，透過特製的 XML 簽章區塊偽造 XML 簽章。(CVE-2013-2172)

    據發現，mod_rewrite 無法從其記錄檔篩選終端逸出序列。如果 mod_rewrite 是以 RewriteLog 指示詞設定，遠端攻擊者可利用特製的 HTTP 要求，將終端逸出序列插入 mod_rewrite 記錄檔。如果受害者以終端模擬器檢視記錄檔，可導致以該使用者的特權執行任意命令。(CVE-2013-1862)

    PicketBox Vault 用於儲存加密密碼的資料檔案中包含其擁有的管理員金鑰複本。檔案僅使用此管理員金鑰加密，而不使用對應的 JKS 金鑰。具有 vault 資料檔案讀取權限的本機攻擊者可讀取檔案的管理員金鑰，並利用該金鑰解密檔案，甚至讀取純文字格式的已儲存密碼。
    (CVE-2013-1921)

    在 JGroup 的 DiagnosticsHandler 中發現一個瑕疵，可讓相鄰網路的攻擊者重複使用先前成功經過驗證的認證。這可遭到惡意利用，進而讀取診斷資訊 (資訊洩漏) 並取得有限的遠端程式碼執行。
    (CVE-2013-4112)

    警告：套用此更新之前，請先備份現有的 Red Hat JBoss Enterprise Application Platform 安裝和已部署的應用程式。
    如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

    建議所有在 Red Hat Enterprise Linux 6 中使用 Red Hat JBoss Enterprise Application Platform 6.1.0 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 6：Red Hat JBoss Enterprise Application Platform 6.1.1 安全性更新 (中等) (RHSA-2013:1208)

medium Nessus Plugin ID 69883

找不到變更記錄