現已提供適用於 RHEL 7 之 Red Hat Virtualization 4 的 rhvm-appliance 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。RHV-M Virtual Appliance 可自動化 Red Hat Virtualization Manager 的安裝和設定程序。可從客戶入口網站將此應用裝置下載為 OVA 檔案。下列套件已升級至更新的上游版本：rhvm-appliance (4.2)。(BZ#1558801、BZ#1563545) 安全性修正：* python-paramiko：transport.py 中的驗證繞過 (CVE-2018-7750) * slf4j：EventData 建構函式中的還原序列化弱點可導致任意程式碼執行 (CVE-2018-8088) * undertow：用戶端可在摘要驗證中使用 bogus uri (CVE-2017-12196) * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 和 CVE-2017-17485 的修正不完整) (CVE-2018-5968) * ovirt-engine：透過登入 web 主控台進行的帳戶列舉 (CVE-2018-1073) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Chris McCown 報告 CVE-2018-8088。CVE-2017-12196 問題是由 Jan Stourac (Red Hat) 所發現。增強功能：* 先前，RHV-M Virtual Appliance 的預設記憶體配額大到足以支援使用者新增的量。在此版本中，RHV-M Virtual Appliance 納入了一個 swap 分割區，可在需要時增加記憶體。(BZ#1422982) * 先前，RHV-M Virtual Appliance 的分割配置包含兩個主要分割區，即「/」和 swap。在此版本中，磁碟分割區配置已經過調整，以符合 NIST 指定的配置。更新過的磁碟分割區如下：/boot 1G (主要) /home 1G (lvm) /tmp 2G (lvm) /var 20G (lvm) /var/log 10G (lvm) /var/log/audit 1G (lvm) swap 8G (lvm) / 6G (主要) (BZ#1463853) * 先前，版本標記被用來作為 RPM 命名配置的一部分 (例如，「4.1.timestamp」)，這造成上游和下游版本設定配置間有所出入。在此版本中，下游版本設定配置配合上游版本配置，時間戳記已從版本標記移至版次標記。(BZ#1464486)

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2018:0480 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.1.1 版本是 Red Hat JBoss Enterprise Application Platform 7.1.0 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。

    安全性修正：

    * artemis/hornetq透過 UDP 和 JGroups 探索發生記憶體耗盡 (CVE-2017-12174)

    * infinispan對插入資料快取的惡意物件進行不安全的還原序列化 (CVE-2017-15089)

    * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 的修正不完整) (CVE-2017-15095)

    * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-15095 的修正不完整) (CVE-2017-17485)

    * resteasyCORS 篩選器未新增 Vary 標頭導致快取破壞 (CVE-2017-7561)

    * undertow用戶端可在摘要式驗證中使用假的 uri (CVE-2017-12196)

    * undertow未將 ALLOW_ENCODED_SLASH 選項納入 AjpRequestParser 中 (CVE-2018-1048)

    * jackson-databind因為不完整的黑名單導致不安全的還原序列化 ( CVE-2017-7525 和 CVE-2017-17485的修正不完整) (CVE-2018-5968)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 1.4.18.SP1、2.0.2.Final、1.4.24.Final 版之前的 undertow 使用摘要式驗證時發現有弱點伺服器未確保 Authorization 標頭中的 URI 值與 HTTP 要求行中的 URI 相符。攻擊者可藉此發動 MITM 攻擊並存取伺服器上的所需內容。 (CVE-2017-12196)

請注意，Nessus 依賴供應商報告的套件存在。

現已提供適用於 Red Hat Enterprise Linux 6 之 Red Hat JBoss Enterprise Application Platform 7.1 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。此 Red Hat JBoss Enterprise Application Platform 7.1.1 版本是 Red Hat JBoss Enterprise Application Platform 7.1.0 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。安全性修正：* artemis/hornetq：因 UDP 和 JGroups 探索導致的記憶體耗盡 (CVE-2017-12174) * infinispan：插入資料快取的惡意物件的不安全還原序列化 (CVE-2017-15089) * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 的修正不完整) (CVE-2017-15095) * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-15095 的修正不完整) (CVE-2017-17485) * resteasy：CORS 篩選器未加入 Vary 標頭，進而導致快取破壞 (CVE-2017-7561) * undertow：用戶端可在摘要式驗證中使用 bogus uri (CVE-2017-12196) * undertow：未在 AjpRequestParser 中將 ALLOW_ENCODED_SLASH 選項納入考量 (CVE-2018-1048) * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 和 CVE-2017-17485 的修正不完整) (CVE-2018-5968) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

遠端 Redhat Enterprise Linux 6/7 主機上安裝的套件受到 RHSA-2018:0481 公告中提及的多個弱點影響。

    * eap7-jboss-ec2-eap 套件提供適用於 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上執行之 Red Hat JBoss Enterprise Application Platform 的指令碼。

    此更新已更新 eap7-jboss-ec2-eap 套件確保與 Red Hat JBoss Enterprise Application Platform 的相容性 7.1.1

    如需此本版本中包含的最重要錯誤修正和增強功能的詳細資訊，請參閱〈參照〉一節連結的 JBoss Enterprise Application Platform 7.1 版本資訊。

    安全性修正:

    * artemis/hornetq透過 UDP 和 JGroups 探索發生記憶體耗盡 (CVE-2017-12174)

    * infinispan對插入資料快取的惡意物件進行不安全的還原序列化 (CVE-2017-15089)

    * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-7525 的修正不完整) (CVE-2017-15095)

    * jackson-databind：因為不完整的封鎖清單導致不安全的還原序列化 (CVE-2017-15095 的修正不完整) (CVE-2017-17485)

    * resteasyCORS 篩選器未新增 Vary 標頭導致快取破壞 (CVE-2017-7561)

    * undertow用戶端可在摘要式驗證中使用假的 uri (CVE-2017-12196)

    * undertow未將 ALLOW_ENCODED_SLASH 選項納入 AjpRequestParser 中 (CVE-2018-1048)

    * jackson-databind因為不完整的黑名單導致不安全的還原序列化 ( CVE-2017-7525 和 CVE-2017-17485的修正不完整) (CVE-2018-5968)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
109910	RHEL 7：Virtualization (RHSA-2018:1525)	Nessus	Red Hat Local Security Checks	2018/5/18	2025/3/20	critical
108324	RHEL 7 : RHEL 7 的 JBoss Enterprise Application Platform 7.1.1 (重要) (RHSA-2018:0480)	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical
251493	Linux Distros 未修補的弱點：CVE-2017-12196	Nessus	Misc.	2025/8/18	2025/8/18	medium
108323	RHEL 6：JBoss EAP (RHSA-2018:0479)	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical
108325	RHEL 6 / 7EAP 的 jboss-ec2-eap 套件 7.1.1 (重要) (RHSA-2018:0481)	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical

偵測

搜尋 Plugin

critical

critical

medium

critical

critical