The remote Redhat Enterprise Linux 5 / 6 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2013:0259 advisory.

  - jbossws-cxf, apache-cxf: SOAPAction spoofing on document literal web services (CVE-2012-3451)

  - jbossws-cxf, apache-cxf: Bypass of security constraints on WS endpoints when using WSS4JInInterceptor     (CVE-2012-5633)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Redhat Enterprise Linux 5 / 6 ホストには、RHSA-2013:0259 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - jbossws-cxf、apache-cxf: ドキュメントリテラル Web サービスでの SOAPAction なりすまし (CVE-2012-3451)

  - jbossws-cxf、apache-cxf: WSS4JInInterceptor 使用時の WS エンドポイントのセキュリティ制約のバイパス (CVE-2012-5633)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

An updated apache-cxf package for JBoss Enterprise Application Platform 6.0.1 which fixes two security issues is now available for Red Hat Enterprise Linux 5 and 6.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Apache CXF is an open source services framework.

It was found that the Apache CXF UsernameTokenPolicyValidator and UsernameTokenInterceptor allowed a UsernameToken element with no password child element to bypass authentication. A remote attacker could use this flaw to circumvent access controls applied to web services by omitting the password in a UsernameToken. This flaw was exploitable on web services that rely on WS-SecurityPolicy plain text UsernameTokens to authenticate users. It was not exploitable when using hashed passwords or WS-Security without WS-SecurityPolicy.
(CVE-2013-0239)

If web services were deployed using Apache CXF with the WSS4JInInterceptor enabled to apply WS-Security processing, HTTP GET requests to these services were always granted access, without applying authentication checks. The URIMappingInterceptor is a legacy mechanism for allowing REST-like access (via GET requests) to simple SOAP services. A remote attacker could use this flaw to access the REST-like interface of a simple SOAP service using GET requests that bypass the security constraints applied by WSS4JInInterceptor. This flaw was only exploitable if WSS4JInInterceptor was used to apply WS-Security processing. Services that use WS-SecurityPolicy to apply security were not affected. (CVE-2012-5633)

Warning: Before applying this update, back up your existing JBoss Enterprise Application Platform installation and deployed applications.

All users of JBoss Enterprise Application Platform 6.0.1 on Red Hat Enterprise Linux 5 and 6 are advised to upgrade to this updated package. The JBoss server process must be restarted for the update to take effect.

An updated apache-cxf package for JBoss Enterprise Application Platform 5.2.0 that fixes two security issues is now available for Red Hat Enterprise Linux 4, 5, and 6.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

JBoss Enterprise Application Platform is a platform for Java applications, which integrates the JBoss Application Server with JBoss Hibernate and JBoss Seam.

If web services were deployed using Apache CXF with the WSS4JInInterceptor enabled to apply WS-Security processing, HTTP GET requests to these services were always granted access, without applying authentication checks. The URIMappingInterceptor is a legacy mechanism for allowing REST-like access (via GET requests) to simple SOAP services. A remote attacker could use this flaw to access the REST-like interface of a simple SOAP service using GET requests that bypass the security constraints applied by WSS4JInInterceptor. This flaw was only exploitable if WSS4JInInterceptor was used to apply WS-Security processing. Services that use WS-SecurityPolicy to apply security were not affected. (CVE-2012-5633)

It was found that Apache CXF was vulnerable to SOAPAction spoofing attacks under certain conditions. If web services were exposed via Apache CXF that use a unique SOAPAction for each service operation, then a remote attacker could perform SOAPAction spoofing to call a forbidden operation if it accepts the same parameters as an allowed operation. WS-Policy validation was performed against the operation being invoked, and an attack must pass validation to be successful.
(CVE-2012-3451)

Note that the CVE-2012-3451 and CVE-2012-5633 issues only affected environments that have JBoss Web Services CXF installed.

Red Hat would like to thank the Apache CXF project for reporting CVE-2012-3451.

Warning: Before applying this update, back up your existing JBoss Enterprise Application Platform installation (including all applications and configuration files).

All users of JBoss Enterprise Application Platform 5.2.0 on Red Hat Enterprise Linux 4, 5, and 6 are advised to upgrade to this updated package. The JBoss server process must be restarted for the update to take effect.

遠端 Redhat Enterprise Linux 5 / 6 主機已安裝一個受到多個弱點影響的套件，如 RHSA-2013:0259 公告中所提及。

  - jbossws-cxf、apache-cxf：有關文件常值網路服務的 SOAPAction 偽造 (CVE-2012-3451)

  - jbossws-cxf、apache-cxf：使用 WSS4JInInterceptor 時，繞過 WS 端點上的安全性限制 (CVE-2012-5633)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 5/6 主机上安装的程序包受到 RHSA-2013:0259 公告中提及的多个漏洞影响。

  - jbossws-cxf、apache-cxf：文档文字 Web 服务上中存在 SOAPAction 欺骗 (CVE-2012-3451)

  - jbossws-cxf、apache-cxf：使用 WSS4JInInterceptor 时，绕过 WS 端点上的安全限制 (CVE-2012-5633)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

2 つのセキュリティ問題を修正する JBoss Enterprise Application Platform 5.2.0 の更新済み apache-cxf パッケージが、Red Hat Enterprise Linux 4、5、6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は Java アプリケーション用のプラットフォームで、JBoss Hibernate および JBoss Seam と JBoss Application Server を統合します。

Web サービスが、WS-Security 処理を適用するために WSS4JInInterceptor が有効な Apache CXF を使用して展開された場合、こうしたサービスに対する HTTP GET リクエストが、認証チェックを適用することなく常にアクセス権を付与されていました。URIMappingInterceptor は、シンプルな SOAP サービスに対して REST のようなアクセスを許可する、従来型のメカニズムです。リモートの攻撃者はこの欠陥を利用して、シンプルな SOAP サービスの REST のようなインターフェイスにアクセスすることができます。これにより、WSS4JInInterceptor によって適用されたセキュリティ制約をバイパスします。WSS4JInInterceptor が WS-Security プロセスを適用するために使用される場合にのみ、この欠陥は悪用できます。セキュリティを適用するための WS-SecurityPolicy を使用するサービスは影響を受けません。(CVE-2012-5633)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。Web サービスが各サービスオペレーションに一意の SOAPAction を使用する Apache CXF を介して露出されている場合、リモートの攻撃者が、同じパラメーターを許可された操作として受け入れたときに禁止されている操作を呼び出すために、SOAPAction なりすましを実行する可能性があります。WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。
(CVE-2012-3451)

注意：CVE-2012-3451 と CVE-2012-5633 の問題の影響を受けるのは、JBoss Web Services CXF がインストールされている環境のみです。

Red Hat は、CVE-2012-3451 を報告してくれた Apache CXF プロジェクトに感謝の意を表します。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストール内容（すべてのアプリケーションと構成ファイル）をバックアップしてください。

Red Hat Enterprise Linux 4、5、6 上で JBoss Enterprise Application Platform 5.2.0 の全ユーザーは、この更新済みパッケージへアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

2 つのセキュリティの問題を修正する更新済みの JBoss Enterprise Application Platform 6.0.1 用の apache-cxf パッケージが、Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache CXF は、オープンソースのサービスフレームワークです。

Apache CXF の UsernameTokenPolicyValidator および UsernameTokenInterceptor により、パスワードがない子要素を含む UsernameToken 要素が認証をバイパスすることが判明しました。リモートの攻撃者がこの欠陥を利用して、UsernameToken のパスワードを省略することで、Web サービスへ適用されるアクセスコントロールを回避する可能性があります。この欠陥は、ユーザーを認証するために WS-SecurityPolicy 平文テキストの UsernameTokens に依存する Web サービス上で悪用されました。ハッシュされたパスワードまたは WS-SecurityPolicy がない WS-Security を使用する場合、これは悪用されませんでした。
(CVE-2013-0239)

Web サービスが、WS-Security 処理を適用するために WSS4JInInterceptor が有効な Apache CXF を使用して展開された場合、こうしたサービスに対する HTTP GET リクエストが、認証チェックを適用することなく常にアクセス権を付与されていました。URIMappingInterceptor は、シンプルな SOAP サービスに対して REST のようなアクセスを許可する、従来型のメカニズムです。リモートの攻撃者はこの欠陥を利用して、シンプルな SOAP サービスの REST のようなインターフェイスにアクセスすることができます。これにより、WSS4JInInterceptor によって適用されたセキュリティ制約をバイパスします。WSS4JInInterceptor が WS-Security プロセスを適用するために使用される場合にのみ、この欠陥は悪用できます。セキュリティを適用するための WS-SecurityPolicy を使用するサービスは影響を受けません。(CVE-2012-5633)

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。

Red Hat Enterprise Linux 5 および 6 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、この更新済みパッケージへアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 apache-cxf package for JBoss Enterprise Application Platform 6.0.1 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache CXF 是一種開放原始碼服務架構。

據發現，Apache CXF UsernameTokenPolicyValidator 和 UsernameTokenInterceptor 允許不具密碼子元素的 UsernameToken 元素繞過驗證。遠端攻擊者可利用此瑕疵，省略 UsernameToken 中的密碼，進而規避套用至 web 服務的存取控制。此瑕疵會在仰賴 WS-SecurityPolicy 純文字 UsernameToken 驗證使用者的 web 服務中遭到惡意利用。若使用雜湊密碼或不具 WS-SecurityPolicy 的 WS-Security，則不會遭到惡意利用。
(CVE-2013-0239)

若 web 服務是利用 Apache CXF 部署，且已啟用 WSS4JInInterceptor 套用 WS-Security 處理，則這些服務的 HTTP GET 要求會隨時授予權限，而不會套用驗證檢查。URIMappingInterceptor 是一種傳統機制，用於允許 REST-like 存取 (透過 GET 要求) 簡單的 SOAP 服務。遠端攻擊者可利用此瑕疵，透過可繞過 WSS4JInInterceptor 所套用之安全性限制的 GET 要求，存取簡單的 SOAP 服務之 REST-like 介面。僅在將 WSS4JInInterceptor 用於套用 WS-Security 處理時，才可利用此瑕疵。使用 WS-SecurityPolicy 套用安全性的服務並未受到影響。(CVE-2012-5633)

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。

建議所有在 Red Hat Enterprise Linux 5 和 6 上使用 JBoss Enterprise Application Platform 6.0.1 的使用者皆升級至此更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 的更新版 apache-cxf package for JBoss Enterprise Application Platform 5.2.0 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 是一個適用於 Java 應用程式的平台，其整合了 JBoss Application Server、JBoss Hibernate 和 JBoss Seam。

若 web 服務是利用 Apache CXF 部署，且已啟用 WSS4JInInterceptor 套用 WS-Security 處理，則這些服務的 HTTP GET 要求會隨時授予權限，而不會套用驗證檢查。URIMappingInterceptor 是一種傳統機制，用於允許 REST-like 存取 (透過 GET 要求) 簡單的 SOAP 服務。遠端攻擊者可利用此瑕疵，透過可繞過 WSS4JInInterceptor 所套用之安全性限制的 GET 要求，存取簡單的 SOAP 服務之 REST-like 介面。僅在將 WSS4JInInterceptor 用於套用 WS-Security 處理時，才可利用此瑕疵。使用 WS-SecurityPolicy 套用安全性的服務並未受到影響。(CVE-2012-5633)

據發現，在特定情況下，Apache CXF 容易受到 SOAPAction 偽造攻擊影響。如果 Web 服務是透過針對各服務作業都使用唯一 SOAPAction 的 Apache CXF 公開，則在禁止作業接受的參數與允許作業相同時，遠端攻擊者便可執行 SOAPAction 偽造來呼叫該禁止作業。已針對所叫用的作業執行 WS-Policy 驗證，而且必須通過驗證，才能順利發動攻擊。
(CVE-2012-3451)

請注意，CVE-2012-3451 和 CVE-2012-5633 問題只會影響裝有 JBoss Web Services CXF 的環境。

Red Hat 要感謝 Apache CXF 專案報告 CVE-2012-3451。

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝 (包括所有應用程式和組態檔)。

建議所有在 Red Hat Enterprise Linux 4、5 和 6 上使用 JBoss Enterprise Application Platform 5.2.0 的使用者皆升級至此更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

用于 JBoss Enterprise Application Platform 5.2.0 的更新后的 apache-cxf 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 4、5 和 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是一款适用于 Java 应用程序的平台，其将 JBoss Application Server 与 JBoss Hibernate 和 JBoss Seam 相集成。

如果 Web 服务是使用 Apache CXF 部署的，并且启用了 WSS4JInInterceptor 以应用 WS-Security 处理，则无需应用认证检查，将始终向针对这些服务的 HTTP GET 请求授予访问权限。URIMappingInterceptor 是一种旧机制，允许对简单 SOAP 服务进行类 REST 的访问（通过 GET 请求）。远程攻击者可利用此缺陷，使用 GET 请求访问简单 SOAP 服务的类 REST 接口，从而绕过 WSS4JInInterceptor 应用的安全限制。此缺陷仅当 WSS4JInInterceptor 用于应用 WS-Security 处理时才可利用。使用 WS-SecurityPolicy 应用安全性的服务不受影响。(CVE-2012-5633)

已发现在某些情况下 Apache CXF 容易遭受 SOAPAction 欺骗攻击。如果通过为每个服务操作使用唯一 SOAPAction 的 Apache CXF 暴露 Web 服务，则远程攻击者可执行 SOAPAction 欺骗，在已禁止的操作接受与允许的操作相同的参数的情况下调用该已禁止操作。需对被调用的操作执行 WS 策略验证，攻击必须通过验证才能成功。
(CVE-2012-3451)

请注意，CVE-2012-3451 和 CVE-2012-5633 问题仅影响安装有 JBoss Web Services CXF 的环境。

Red Hat 在此感谢 Apache CXF 项目报告 CVE-2012-3451。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序（包括所有应用程序和配置文件）。

建议 Red Hat Enterprise Linux 4、5 和 6 中的所有 JBoss Enterprise Application Platform 5.2.0 用户升级到此更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

更新后的 JBoss Enterprise Application Platform 6.0.1 的 apache-cxf 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache CXF 是开源服务框架。

已发现 Apache CXF UsernameTokenPolicyValidator 和 UsernameTokenInterceptor 允许无密码子元素的 UsernameToken 元素绕过认证。远程攻击者可利用此缺陷通过忽略 UsernameToken 中的密码，避开对 Web 服务应用的访问控制。此缺陷可在依赖 WS-SecurityPolicy 纯文本 UsernameToken 认证用户的 Web 服务中利用。不能在使用哈希的密码或不带 WS-SecurityPolicy 的 WS-Security 时利用此缺陷。
(CVE-2013-0239)

如果 Web 服务是使用 Apache CXF 部署的，并且启用了 WSS4JInInterceptor 以应用 WS-Security 处理，则无需应用认证检查，将始终向针对这些服务的 HTTP GET 请求授予访问权限。URIMappingInterceptor 是一种旧机制，允许对简单 SOAP 服务进行类 REST 的访问（通过 GET 请求）。远程攻击者可利用此缺陷，使用 GET 请求访问简单 SOAP 服务的类 REST 接口，从而绕过 WSS4JInInterceptor 应用的安全限制。此缺陷仅当 WSS4JInInterceptor 用于应用 WS-Security 处理时才可利用。使用 WS-SecurityPolicy 应用安全性的服务不受影响。(CVE-2012-5633)

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。

建议所有 Red Hat Enterprise Linux 5 和 6 中的 JBoss Enterprise Application Platform 6.0.1 用户升级此更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

ID	名稱	產品	系列	已發布	已更新	嚴重性
193677	RHEL 5 / 6 : JBoss Enterprise Web Platform 5.2.0 (RHSA-2013:0259)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/4/21	medium
193677	RHEL 5 / 6 : JBoss Enterprise Web Platform 5.2.0 (RHSA-2013:0259)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/4/21	medium
65544	RHEL 5 / 6 : apache-cxf (RHSA-2013:0644)	Nessus	Red Hat Local Security Checks	2013/3/14	2021/1/14	medium
64628	RHEL 5 / 6 : JBoss EAP (RHSA-2013:0257)	Nessus	Red Hat Local Security Checks	2013/2/14	2021/1/14	medium
193677	RHEL 5 / 6：JBoss Enterprise Web Platform 5.2.0 (RHSA-2013:0259)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/4/21	medium
193677	RHEL 5/6：JBoss Enterprise Web Platform 5.2.0 (RHSA-2013:0259)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/4/21	medium
64628	RHEL 4 / 5 / 6：JBoss EAP（RHSA-2013:0257）	Nessus	Red Hat Local Security Checks	2013/2/14	2021/1/14	medium
65544	RHEL 5 / 6：apache-cxf（RHSA-2013:0644）	Nessus	Red Hat Local Security Checks	2013/3/14	2021/1/14	medium
65544	RHEL 5 / 6 : apache-cxf (RHSA-2013:0644)	Nessus	Red Hat Local Security Checks	2013/3/14	2021/1/14	medium
64628	RHEL 4 / 5 / 6：JBoss EAP (RHSA-2013:0257)	Nessus	Red Hat Local Security Checks	2013/2/14	2021/1/14	medium
64628	RHEL 4 / 5 / 6：JBoss EAP (RHSA-2013:0257)	Nessus	Red Hat Local Security Checks	2013/2/14	2021/1/14	medium
65544	RHEL 5 / 6：apache-cxf (RHSA-2013:0644)	Nessus	Red Hat Local Security Checks	2013/3/14	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium