Updated JBoss Enterprise Application Platform 6.0.1 packages that fix multiple security issues, various bugs, and add enhancements are now available for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

JBoss Enterprise Application Platform 6 is a platform for Java applications based on JBoss Application Server 7.

This release serves as a replacement for JBoss Enterprise Application Platform 6.0.0, and includes bug fixes and enhancements. Refer to the 6.0.1 Release Notes for information on the most significant of these changes, available shortly from https://access.redhat.com/knowledge/docs/

This update removes unused signed JARs; unused SHA1 checksums from JAR MANIFEST.MF files to reduce the Server memory footprint; adds MANIFEST.MF to JAR files where it was previously missing; and removes redundant Javadoc files from the main packages. (BZ#853551)

Security fixes :

Apache CXF checked to ensure XML elements were signed or encrypted by a Supporting Token, but not whether the correct token was used. A remote attacker could transmit confidential information without the appropriate security, and potentially circumvent access controls on web services exposed via Apache CXF. (CVE-2012-2379)

When using role-based authorization to configure EJB access, JACC permissions should be used to determine access; however, due to a flaw the configured authorization modules (JACC, XACML, etc.) were not called, and the JACC permissions were not used to determine access to an EJB. (CVE-2012-4550)

A flaw in the way Apache CXF enforced child policies of WS-SecurityPolicy 1.1 on the client side could, in certain cases, lead to a client failing to sign or encrypt certain elements as directed by the security policy, leading to information disclosure and insecure information transmission. (CVE-2012-2378)

A flaw was found in the way IronJacamar authenticated credentials and returned a valid datasource connection when configured to 'allow-multiple-users'. A remote attacker, provided the correct subject, could obtain a datasource connection that might belong to a privileged user. (CVE-2012-3428)

It was found that Apache CXF was vulnerable to SOAPAction spoofing attacks under certain conditions. Note that WS-Policy validation is performed against the operation being invoked, and an attack must pass validation to be successful. (CVE-2012-3451)

When there are no allowed roles for an EJB method invocation, the invocation should be denied for all users. It was found that the processInvocation() method in org.jboss.as.ejb3.security.AuthorizationInterceptor incorrectly authorizes all method invocations to proceed when the list of allowed roles is empty. (CVE-2012-4549)

It was found that in Mojarra, the FacesContext that is made available during application startup is held in a ThreadLocal. The reference is not properly cleaned up in all cases. As a result, if a JavaServer Faces (JSF) WAR calls FacesContext.getCurrentInstance() during application startup, another WAR can get access to the leftover context and thus get access to the other WAR's resources. A local attacker could use this flaw to access another WAR's resources using a crafted, deployed application. (CVE-2012-2672)

An input sanitization flaw was found in the mod_negotiation Apache HTTP Server module. A remote attacker able to upload or create files with arbitrary names in a directory that has the MultiViews options enabled, could use this flaw to conduct cross-site scripting attacks against users visiting the site. (CVE-2008-0455, CVE-2012-2687)

Red Hat would like to thank the Apache CXF project for reporting CVE-2012-2379, CVE-2012-2378, and CVE-2012-3451. The CVE-2012-4550 issue was discovered by Josef Cacek of the Red Hat JBoss EAP Quality Engineering team; CVE-2012-3428 and CVE-2012-4549 were discovered by Arun Neelicattu of the Red Hat Security Response Team; and CVE-2012-2672 was discovered by Marek Schmidt and Stan Silvert of Red Hat.

Warning: Before applying this update, back up your existing JBoss Enterprise Application Platform installation and deployed applications. Refer to the Solution section for further details.

複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#853551）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

Updated JBoss Enterprise Application Platform 6.0.1 packages that fix multiple security issues, various bugs, and add enhancements are now available for Red Hat Enterprise Linux 6.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

JBoss Enterprise Application Platform 6 is a platform for Java applications based on JBoss Application Server 7.

This release serves as a replacement for JBoss Enterprise Application Platform 6.0.0, and includes bug fixes and enhancements. Refer to the 6.0.1 Release Notes for information on the most significant of these changes, available shortly from https://access.redhat.com/knowledge/docs/

This update removes unused signed JARs; unused SHA1 checksums from JAR MANIFEST.MF files to reduce the Server memory footprint; adds MANIFEST.MF to JAR files where it was previously missing; and removes redundant Javadoc files from the main packages. (BZ#830291)

Security fixes :

Apache CXF checked to ensure XML elements were signed or encrypted by a Supporting Token, but not whether the correct token was used. A remote attacker could transmit confidential information without the appropriate security, and potentially circumvent access controls on web services exposed via Apache CXF. (CVE-2012-2379)

When using role-based authorization to configure EJB access, JACC permissions should be used to determine access; however, due to a flaw the configured authorization modules (JACC, XACML, etc.) were not called, and the JACC permissions were not used to determine access to an EJB. (CVE-2012-4550)

A flaw in the way Apache CXF enforced child policies of WS-SecurityPolicy 1.1 on the client side could, in certain cases, lead to a client failing to sign or encrypt certain elements as directed by the security policy, leading to information disclosure and insecure information transmission. (CVE-2012-2378)

A flaw was found in the way IronJacamar authenticated credentials and returned a valid datasource connection when configured to 'allow-multiple-users'. A remote attacker, provided the correct subject, could obtain a datasource connection that might belong to a privileged user. (CVE-2012-3428)

It was found that Apache CXF was vulnerable to SOAPAction spoofing attacks under certain conditions. Note that WS-Policy validation is performed against the operation being invoked, and an attack must pass validation to be successful. (CVE-2012-3451)

When there are no allowed roles for an EJB method invocation, the invocation should be denied for all users. It was found that the processInvocation() method in org.jboss.as.ejb3.security.AuthorizationInterceptor incorrectly authorizes all method invocations to proceed when the list of allowed roles is empty. (CVE-2012-4549)

It was found that in Mojarra, the FacesContext that is made available during application startup is held in a ThreadLocal. The reference is not properly cleaned up in all cases. As a result, if a JavaServer Faces (JSF) WAR calls FacesContext.getCurrentInstance() during application startup, another WAR can get access to the leftover context and thus get access to the other WAR's resources. A local attacker could use this flaw to access another WAR's resources using a crafted, deployed application. (CVE-2012-2672)

An input sanitization flaw was found in the mod_negotiation Apache HTTP Server module. A remote attacker able to upload or create files with arbitrary names in a directory that has the MultiViews options enabled, could use this flaw to conduct cross-site scripting attacks against users visiting the site. (CVE-2008-0455, CVE-2012-2687)

Red Hat would like to thank the Apache CXF project for reporting CVE-2012-2379, CVE-2012-2378, and CVE-2012-3451. The CVE-2012-4550 issue was discovered by Josef Cacek of the Red Hat JBoss EAP Quality Engineering team; CVE-2012-3428 and CVE-2012-4549 were discovered by Arun Neelicattu of the Red Hat Security Response Team; and CVE-2012-2672 was discovered by Marek Schmidt and Stan Silvert of Red Hat.

Warning: Before applying this update, back up your existing JBoss Enterprise Application Platform installation and deployed applications. Refer to the Solution section for further details.

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 JBoss Enterprise Application Platform 6.0.1 套件，可修正多個安全性問題、各種錯誤，並新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

此版本是 JBoss Enterprise Application Platform 6.0.0 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.0.1 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發佈至 https://access.redhat.com/knowledge/docs/

此更新會移除未使用的已簽署 JAR；移除 JAR MANIFEST.MF 檔案的未使用 SHA1 總和檢查碼，以減少伺服器記憶體使用量；新增 MANIFEST.MF 至先前遺漏的 JAR 檔案；並從主要套件移除多餘的 Javadoc 檔案。(BZ#853551)

安全性修正：

已檢查 Apache CXF，以確保 XML 元素已經由支援 Token 簽署或加密，而非所使用的 token 是否正確。遠端攻擊者可在無適當安全性的情況下傳輸機密資訊，並且可能規避透過 Apache CXF 所公開之 Web 服務的存取控制。(CVE-2012-2379)

使用角色型授權設定 EJB 存取時，應使用 JACC 權限來判斷存取權；不過，由於存在一個瑕疵，因此並未呼叫所設定的授權模組 (JACC、XACML 等等)，而且也未使用 JACC 權限來判斷對 EJB 的存取權。(CVE-2012-4550)

Apache CXF 在用戶端強制執行 WS-SecurityPolicy 1.1 之子原則的方式存在一個瑕疵，在特定情況下，可導致用戶端無法根據安全性原則之指示對特定元素進行簽署或加密，進而造成資訊洩漏和不安全的資訊傳輸。(CVE-2012-2378)

當 IronJacamar 設定為「allow-multiple-users」時，在其驗證認證及傳回有效資料來源連線的方式中發現一個瑕疵。提供正確主旨的遠端攻擊者，可取得可能屬於有權限之使用者的資料來源連線。(CVE-2012-3428)

據發現，在特定情況下，Apache CXF 容易受到 SOAPAction 偽造攻擊影響。請注意，已針對所叫用的作業執行 WS-Policy 驗證，而且必須通過驗證，才能順利發動攻擊。(CVE-2012-3451)

沒有任何角色允許進行 EJB 方法引動過程時，應拒絕所有使用者進行引動過程。據發現，當允許角色之清單為空白時，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法並未正確授權進行所有方法引動過程。(CVE-2012-4549)

據發現，在 Mojarra 中，於應用程式啟動期間所提供的 FacesContext 保留於 ThreadLocal 中。未在所有情況下正確清除參照。因此，如果 JavaServer Faces (JSF) WAR 在應用程式啟動期間呼叫 FacesContext.getCurrentInstance()，另一個 WAR 便可存取剩餘的內容，並且從而得以存取其他 WAR 的資源。本機攻擊者可利用此瑕疵，使用特製、已部署之應用程式存取另一個 WAR 的資源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模組中發現輸入清理瑕疵。遠端攻擊者若能以任意名稱在已啟用 MultiViews 選項的目錄中上傳或建立檔案，便可利用此瑕疵對造訪該網站的使用者發動跨網站指令碼攻擊。(CVE-2008-0455、CVE-2012-2687)

Red Hat 要感謝 Apache CXF 專案報告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 問題是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現；CVE-2012-3428 和 CVE-2012-4549 是由 Red Hat 安全性回應團隊的 Arun Neelicattu 所發現；以及 CVE-2012-2672 是由 Red Hat 的 Marek Schmidt 和 Stan Silvert 所發現。

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

更新后的 JBoss Enterprise Application Platform 6.0.1 程序包修复了多种安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.0，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.0.1 发行说明，具体内容短期内将于 https://access.redhat.com/knowledge/docs/ 中提供

此更新删除了未使用的已签名 JAR；从 JAR MANIFEST.MF 文件删除未使用的 SHA1 校验和以减少服务器内存占用；将 MANIFEST.MF 添加到之前缺失它的 JAR 文件；并从主程序包删除冗余 Javadoc 文件。(BZ#853551)

安全补丁：

Apache CXF 检查确认已通过支持的标记签名或加密 XML 元素，而不管是否使用正确的标记。远程攻击者可传输无适当安全性的机密信息，并可能避开对通过 Apache CXF 暴露的 Web 服务的访问控制。(CVE-2012-2379)

当使用基于角色的授权配置 EJB 访问时，应使用 JACC 权限确定访问；但是，由于存在缺陷，未调用所配置的授权模块（JACC、XACML 等），且未使用 JACC 权限确定对 EJB 的访问。(CVE-2012-4550)

在 Apache CXF 强制执行客户端上 WS-SecurityPolicy 1.1 的子策略的方式中发现的缺陷，在某些情况下，可能导致客户端无法签名或加密安全策略定向的某些元素，从而引起信息泄露和不安全的信息传输。(CVE-2012-2378)

当配置为“allow-multiple-users”时，在 IronJacamar 认证凭据和返回有效数据源连接的方式中发现一个缺陷。提供正确主题的远程攻击者可获取可能属于特权用户的数据源连接。(CVE-2012-3428)

已发现在某些情况下 Apache CXF 容易遭受 SOAPAction 欺骗攻击。请注意，需对被调用的操作执行 WS 策略验证，攻击必须通过验证才能成功。(CVE-2012-3451)

当不存在 EJB 方法调用的允许角色时，应拒绝所有用户调用。已发现当允许角色列表为空时，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法未正确授权进行所有方法调用。(CVE-2012-4549)

已发现在应用程序启动过程中可用的 Mojarra 中的 FacesContext 保留在 ThreadLocal 中。未正确地在所有案例中清除引用。因此，如果 JavaServer Faces (JSF) WAR 在应用程序启动过程中调用 FacesContext.getCurrentInstance()，其他 WAR 可访问剩余上下文，并因此获得访问其他 WAR 资源的权限。本地攻击者可利用此缺陷，使用特别构建的部署应用程序访问其他 WAR 资源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

Red Hat 在此感谢 Apache CXF 项目报告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 问题由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现； CVE-2012-3428 和 CVE-2012-4549 由 Red Hat 安全响应小组的 Arun Neelicattu 发现； CVE-2012-2672 由 Red Hat 的 Marek Schmidt 和 Stan Silvert 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 JBoss Enterprise Application Platform 6.0.1 套件，可修正多個安全性問題、各種錯誤，並新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

此版本是 JBoss Enterprise Application Platform 6.0.0 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.0.1 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發佈至 https://access.redhat.com/knowledge/docs/

此更新會移除未使用的已簽署 JAR；移除 JAR MANIFEST.MF 檔案的未使用 SHA1 總和檢查碼，以減少伺服器記憶體使用量；新增 MANIFEST.MF 至先前遺漏的 JAR 檔案；並從主要套件移除多餘的 Javadoc 檔案。(BZ#830291)

安全性修正：

已檢查 Apache CXF，以確保 XML 元素已經由支援 Token 簽署或加密，而非所使用的 token 是否正確。遠端攻擊者可在無適當安全性的情況下傳輸機密資訊，並且可能規避透過 Apache CXF 所公開之 Web 服務的存取控制。(CVE-2012-2379)

使用角色型授權設定 EJB 存取時，應使用 JACC 權限來判斷存取權；不過，由於存在一個瑕疵，因此並未呼叫所設定的授權模組 (JACC、XACML 等等)，而且也未使用 JACC 權限來判斷對 EJB 的存取權。(CVE-2012-4550)

Apache CXF 在用戶端強制執行 WS-SecurityPolicy 1.1 之子原則的方式存在一個瑕疵，在特定情況下，可導致用戶端無法根據安全性原則之指示對特定元素進行簽署或加密，進而造成資訊洩漏和不安全的資訊傳輸。(CVE-2012-2378)

當 IronJacamar 設定為「allow-multiple-users」時，在其驗證認證及傳回有效資料來源連線的方式中發現一個瑕疵。提供正確主旨的遠端攻擊者，可取得可能屬於有權限之使用者的資料來源連線。(CVE-2012-3428)

據發現，在特定情況下，Apache CXF 容易受到 SOAPAction 偽造攻擊影響。請注意，已針對所叫用的作業執行 WS-Policy 驗證，而且必須通過驗證，才能順利發動攻擊。(CVE-2012-3451)

沒有任何角色允許進行 EJB 方法引動過程時，應拒絕所有使用者進行引動過程。據發現，當允許角色之清單為空白時，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法並未正確授權進行所有方法引動過程。(CVE-2012-4549)

據發現，在 Mojarra 中，於應用程式啟動期間所提供的 FacesContext 保留於 ThreadLocal 中。未在所有情況下正確清除參照。因此，如果 JavaServer Faces (JSF) WAR 在應用程式啟動期間呼叫 FacesContext.getCurrentInstance()，另一個 WAR 便可存取剩餘的內容，並且從而得以存取其他 WAR 的資源。本機攻擊者可利用此瑕疵，使用特製、已部署之應用程式存取另一個 WAR 的資源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模組中發現輸入清理瑕疵。遠端攻擊者若能以任意名稱在已啟用 MultiViews 選項的目錄中上傳或建立檔案，便可利用此瑕疵對造訪該網站的使用者發動跨網站指令碼攻擊。(CVE-2008-0455、CVE-2012-2687)

Red Hat 要感謝 Apache CXF 專案報告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 問題是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現；CVE-2012-3428 和 CVE-2012-4549 是由 Red Hat 安全性回應團隊的 Arun Neelicattu 所發現；以及 CVE-2012-2672 是由 Red Hat 的 Marek Schmidt 和 Stan Silvert 所發現。

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#830291）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

更新后的 JBoss Enterprise Application Platform 6.0.1 程序包修复了多种安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.0，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.0.1 发行说明，具体内容短期内将于 https://access.redhat.com/knowledge/docs/ 中提供

此更新删除了未使用的已签名 JAR；从 JAR MANIFEST.MF 文件删除未使用的 SHA1 校验和以减少服务器内存占用；将 MANIFEST.MF 添加到之前缺失它的 JAR 文件；并从主程序包删除冗余 Javadoc 文件。(BZ#830291)

安全补丁：

Apache CXF 检查确认已通过支持的标记签名或加密 XML 元素，而不管是否使用正确的标记。远程攻击者可传输无适当安全性的机密信息，并可能避开对通过 Apache CXF 暴露的 Web 服务的访问控制。(CVE-2012-2379)

当使用基于角色的授权配置 EJB 访问时，应使用 JACC 权限确定访问；但是，由于存在缺陷，未调用所配置的授权模块（JACC、XACML 等），且未使用 JACC 权限确定对 EJB 的访问。(CVE-2012-4550)

在 Apache CXF 强制执行客户端上 WS-SecurityPolicy 1.1 的子策略的方式中发现的缺陷，在某些情况下，可能导致客户端无法签名或加密安全策略定向的某些元素，从而引起信息泄露和不安全的信息传输。(CVE-2012-2378)

当配置为“allow-multiple-users”时，在 IronJacamar 认证凭据和返回有效数据源连接的方式中发现一个缺陷。提供正确主题的远程攻击者可获取可能属于特权用户的数据源连接。(CVE-2012-3428)

已发现在某些情况下 Apache CXF 容易遭受 SOAPAction 欺骗攻击。请注意，需对被调用的操作执行 WS 策略验证，攻击必须通过验证才能成功。(CVE-2012-3451)

当不存在 EJB 方法调用的允许角色时，应拒绝所有用户调用。已发现当允许角色列表为空时，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法未正确授权进行所有方法调用。(CVE-2012-4549)

已发现在应用程序启动过程中可用的 Mojarra 中的 FacesContext 保留在 ThreadLocal 中。未正确地在所有案例中清除引用。因此，如果 JavaServer Faces (JSF) WAR 在应用程序启动过程中调用 FacesContext.getCurrentInstance()，其他 WAR 可访问剩余上下文，并因此获得访问其他 WAR 资源的权限。本地攻击者可利用此缺陷，使用特别构建的部署应用程序访问其他 WAR 资源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

Red Hat 在此感谢 Apache CXF 项目报告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 问题由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现； CVE-2012-3428 和 CVE-2012-4549 由 Red Hat 安全响应小组的 Arun Neelicattu 发现； CVE-2012-2672 由 Red Hat 的 Marek Schmidt 和 Stan Silvert 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

ID	名稱	產品	系列	已發布	已更新	嚴重性
64071	RHEL 5 : JBoss EAP (RHSA-2012:1591)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64071	RHEL 5：JBoss EAP（RHSA-2012:1591）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64072	RHEL 6 : JBoss EAP (RHSA-2012:1592)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64071	RHEL 5：JBoss EAP (RHSA-2012:1591)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64071	RHEL 5：JBoss EAP (RHSA-2012:1591)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64072	RHEL 6：JBoss EAP (RHSA-2012:1592)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64072	RHEL 6：JBoss EAP（RHSA-2012:1592）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64072	RHEL 6：JBoss EAP (RHSA-2012:1592)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical