現已提供適用於 Red Hat Enterprise Linux 6 的更新版 Red Hat JBoss Enterprise Application Platform 6.3.0 套件，可修正多個安全性問題、數個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

在 mod_status httpd 模組中發現導致堆積型緩衝區溢位的爭用情形瑕疵。能夠在伺服器上使用階層式多處理模組 (MPM) 存取 mod_status 提供服務之狀態頁面的遠端攻擊者，可能傳送特製要求，導致 httpd 子處理程序損毀，或可能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2014-0226)

在 httpd 的 mod_deflate 模組處理要求內文解壓縮 (透過 DEFLATE 輸入篩選設定) 的方式中發現拒絕服務瑕疵。能夠傳送其內文會遭到解壓縮之要求的遠端攻擊者可能會利用此瑕疵在目標系統上消耗過量系統記憶體與 CPU。
(CVE-2014-0118)

在 httpd 的 mod_cgid 模組執行並非從標準輸入讀取資料之 CGI 指令碼的方式中發現拒絕服務瑕疵。遠端攻擊者可能會提交特製的要求，導致 httpd 子處理程序無限期懸置。(CVE-2014-0231)

在 WebSocket08FrameDecoder 實作中發現的瑕疵，可能會允許遠端攻擊者透過發出一系列 TextWebSocketFrame 與 ContinuationWebSocketFrames 來觸發記憶體不足例外狀況。根據伺服器組態而定，這可能會造成拒絕服務。(CVE-2014-0193)

據發現，SimpleSecurityManager 的 isCallerInRole() 方法並未正確檢查呼叫者角色。經驗證的遠端攻擊者可能利用此瑕疵，在使用以呼叫者角色為基礎之黑名單存取控制的應用程式中規避呼叫者檢查。(CVE-2014-3472)

Red Hat 要感謝 Typesafe 的 James Roper 報告 CVE-2014-0193，以及 CA Technologies 報告 CVE-2014-3472。

此 JBoss Enterprise Application Platform 版本也包含錯誤修正及增強功能。這些變更的相關文件近期將可從〈參照〉一節中的 JBoss Enterprise Application Platform 6.3.0 版本資訊連結中取得。

建議所有在 Red Hat Enterprise Linux 6 中需要 JBoss Enterprise Application Platform 6.3.0 的使用者皆安裝這些新套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

偵測

RHEL 6：JBoss EAP (RHSA-2014:1020)

medium Nessus Plugin ID 77079

找不到變更記錄