現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 的更新版 Red Hat JBoss Enterprise Application Platform 5.2.0 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Enterprise Application Platform 是一個適用於 Java 應用程式的平台，其整合了 JBoss Application Server、JBoss Hibernate 和 JBoss Seam。

據發現，org.picketlink.common.util.DocumentUtil.getDocumentBuilderFactory() 方法的實作已提供會擴充實體參照的 DocumentBuilderFactory。未經驗證的遠端攻擊者可利用此瑕疵，讀取執行應用程式伺服器的使用者可存取的檔案，且可能發動其他更進階的 XXE 攻擊。(CVE-2014-3530)

Red Hat 要感謝 Alexander Papadakis 報告此問題。

建議所有在 Red Hat Enterprise Linux 4、5 和 6 上使用 Red Hat JBoss Enterprise Application Platform 5.2.0 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

偵測

RHEL 4 / 5 / 6：JBoss EAP (RHSA-2014:0885)

high Nessus Plugin ID 76550

找不到變更記錄