An updated apache-cxf package for JBoss Enterprise Application Platform 6.0.1 which fixes two security issues is now available for Red Hat Enterprise Linux 5 and 6.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Apache CXF is an open source services framework.

It was found that the Apache CXF UsernameTokenPolicyValidator and UsernameTokenInterceptor allowed a UsernameToken element with no password child element to bypass authentication. A remote attacker could use this flaw to circumvent access controls applied to web services by omitting the password in a UsernameToken. This flaw was exploitable on web services that rely on WS-SecurityPolicy plain text UsernameTokens to authenticate users. It was not exploitable when using hashed passwords or WS-Security without WS-SecurityPolicy.
(CVE-2013-0239)

If web services were deployed using Apache CXF with the WSS4JInInterceptor enabled to apply WS-Security processing, HTTP GET requests to these services were always granted access, without applying authentication checks. The URIMappingInterceptor is a legacy mechanism for allowing REST-like access (via GET requests) to simple SOAP services. A remote attacker could use this flaw to access the REST-like interface of a simple SOAP service using GET requests that bypass the security constraints applied by WSS4JInInterceptor. This flaw was only exploitable if WSS4JInInterceptor was used to apply WS-Security processing. Services that use WS-SecurityPolicy to apply security were not affected. (CVE-2012-5633)

Warning: Before applying this update, back up your existing JBoss Enterprise Application Platform installation and deployed applications.

All users of JBoss Enterprise Application Platform 6.0.1 on Red Hat Enterprise Linux 5 and 6 are advised to upgrade to this updated package. The JBoss server process must be restarted for the update to take effect.

2 つのセキュリティの問題を修正する更新済みの JBoss Enterprise Application Platform 6.0.1 用の apache-cxf パッケージが、Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache CXF は、オープンソースのサービスフレームワークです。

Apache CXF の UsernameTokenPolicyValidator および UsernameTokenInterceptor により、パスワードがない子要素を含む UsernameToken 要素が認証をバイパスすることが判明しました。リモートの攻撃者がこの欠陥を利用して、UsernameToken のパスワードを省略することで、Web サービスへ適用されるアクセスコントロールを回避する可能性があります。この欠陥は、ユーザーを認証するために WS-SecurityPolicy 平文テキストの UsernameTokens に依存する Web サービス上で悪用されました。ハッシュされたパスワードまたは WS-SecurityPolicy がない WS-Security を使用する場合、これは悪用されませんでした。
(CVE-2013-0239)

Web サービスが、WS-Security 処理を適用するために WSS4JInInterceptor が有効な Apache CXF を使用して展開された場合、こうしたサービスに対する HTTP GET リクエストが、認証チェックを適用することなく常にアクセス権を付与されていました。URIMappingInterceptor は、シンプルな SOAP サービスに対して REST のようなアクセスを許可する、従来型のメカニズムです。リモートの攻撃者はこの欠陥を利用して、シンプルな SOAP サービスの REST のようなインターフェイスにアクセスすることができます。これにより、WSS4JInInterceptor によって適用されたセキュリティ制約をバイパスします。WSS4JInInterceptor が WS-Security プロセスを適用するために使用される場合にのみ、この欠陥は悪用できます。セキュリティを適用するための WS-SecurityPolicy を使用するサービスは影響を受けません。(CVE-2012-5633)

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。

Red Hat Enterprise Linux 5 および 6 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、この更新済みパッケージへアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 apache-cxf package for JBoss Enterprise Application Platform 6.0.1 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache CXF 是一種開放原始碼服務架構。

據發現，Apache CXF UsernameTokenPolicyValidator 和 UsernameTokenInterceptor 允許不具密碼子元素的 UsernameToken 元素繞過驗證。遠端攻擊者可利用此瑕疵，省略 UsernameToken 中的密碼，進而規避套用至 web 服務的存取控制。此瑕疵會在仰賴 WS-SecurityPolicy 純文字 UsernameToken 驗證使用者的 web 服務中遭到惡意利用。若使用雜湊密碼或不具 WS-SecurityPolicy 的 WS-Security，則不會遭到惡意利用。
(CVE-2013-0239)

若 web 服務是利用 Apache CXF 部署，且已啟用 WSS4JInInterceptor 套用 WS-Security 處理，則這些服務的 HTTP GET 要求會隨時授予權限，而不會套用驗證檢查。URIMappingInterceptor 是一種傳統機制，用於允許 REST-like 存取 (透過 GET 要求) 簡單的 SOAP 服務。遠端攻擊者可利用此瑕疵，透過可繞過 WSS4JInInterceptor 所套用之安全性限制的 GET 要求，存取簡單的 SOAP 服務之 REST-like 介面。僅在將 WSS4JInInterceptor 用於套用 WS-Security 處理時，才可利用此瑕疵。使用 WS-SecurityPolicy 套用安全性的服務並未受到影響。(CVE-2012-5633)

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。

建議所有在 Red Hat Enterprise Linux 5 和 6 上使用 JBoss Enterprise Application Platform 6.0.1 的使用者皆升級至此更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

更新后的 JBoss Enterprise Application Platform 6.0.1 的 apache-cxf 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache CXF 是开源服务框架。

已发现 Apache CXF UsernameTokenPolicyValidator 和 UsernameTokenInterceptor 允许无密码子元素的 UsernameToken 元素绕过认证。远程攻击者可利用此缺陷通过忽略 UsernameToken 中的密码，避开对 Web 服务应用的访问控制。此缺陷可在依赖 WS-SecurityPolicy 纯文本 UsernameToken 认证用户的 Web 服务中利用。不能在使用哈希的密码或不带 WS-SecurityPolicy 的 WS-Security 时利用此缺陷。
(CVE-2013-0239)

如果 Web 服务是使用 Apache CXF 部署的，并且启用了 WSS4JInInterceptor 以应用 WS-Security 处理，则无需应用认证检查，将始终向针对这些服务的 HTTP GET 请求授予访问权限。URIMappingInterceptor 是一种旧机制，允许对简单 SOAP 服务进行类 REST 的访问（通过 GET 请求）。远程攻击者可利用此缺陷，使用 GET 请求访问简单 SOAP 服务的类 REST 接口，从而绕过 WSS4JInInterceptor 应用的安全限制。此缺陷仅当 WSS4JInInterceptor 用于应用 WS-Security 处理时才可利用。使用 WS-SecurityPolicy 应用安全性的服务不受影响。(CVE-2012-5633)

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。

建议所有 Red Hat Enterprise Linux 5 和 6 中的 JBoss Enterprise Application Platform 6.0.1 用户升级此更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

ID	名稱	產品	系列	已發布	已更新	嚴重性
65544	RHEL 5 / 6 : apache-cxf (RHSA-2013:0644)	Nessus	Red Hat Local Security Checks	2013/3/14	2021/1/14	medium
65544	RHEL 5 / 6：apache-cxf（RHSA-2013:0644）	Nessus	Red Hat Local Security Checks	2013/3/14	2021/1/14	medium
65544	RHEL 5 / 6 : apache-cxf (RHSA-2013:0644)	Nessus	Red Hat Local Security Checks	2013/3/14	2021/1/14	medium
65544	RHEL 5 / 6：apache-cxf (RHSA-2013:0644)	Nessus	Red Hat Local Security Checks	2013/3/14	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium