The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2013:0834 advisory.

    JBoss Enterprise Application Platform 6 is a platform for Java applications     based on JBoss Application Server 7.

    This release serves as a replacement for JBoss Enterprise Application     Platform 6.0.1, and includes bug fixes and enhancements. Refer to the 6.1.0     Release Notes for information on the most significant of these changes,     available shortly from https://access.redhat.com/site/documentation/

    Security fixes:

    XML encryption backwards compatibility attacks were found against various     frameworks, including Apache CXF. An attacker could force a server to use     insecure, legacy cryptosystems, even when secure cryptosystems were enabled     on endpoints. By forcing the use of legacy cryptosystems, flaws such as     CVE-2011-1096 and CVE-2011-2487 would be exposed, allowing plain text to be     recovered from cryptograms and symmetric keys. (CVE-2012-5575)

    Note: Automatic checks to prevent CVE-2012-5575 are only run when     WS-SecurityPolicy is used to enforce security requirements. It is best     practice to use WS-SecurityPolicy to enforce security requirements.

    When applications running on JBoss Web used the COOKIE session tracking     method, the org.apache.catalina.connector.Response.encodeURL() method     returned the URL with the jsessionid appended as a query string parameter     when processing the first request of a session. An attacker could possibly     exploit this flaw by performing a man-in-the-middle attack to obtain a     user's jsessionid and hijack their session, or by extracting the jsessionid     from log files. Note that no session tracking method is used by default,     one must be configured. (CVE-2012-4529)

    If multiple applications used the same custom authorization module class     name, and provided their own implementations of it, the first application     to be loaded will have its implementation used for all other applications     using the same custom authorization module class name. A local attacker     could use this flaw to deploy a malicious application that provides     implementations of custom authorization modules that permit or deny user     access according to rules supplied by the attacker. (CVE-2012-4572)

    Red Hat would like to thank Tibor Jager, Kenneth G. Paterson and Juraj     Somorovsky of Ruhr-University Bochum for reporting CVE-2012-5575.
    CVE-2012-4572 was discovered by Josef Cacek of the Red Hat JBoss EAP     Quality Engineering team.

    Warning: Before applying this update, back up your existing JBoss     Enterprise Application Platform installation and deployed applications.
    Refer to the Solution section for further details.

    All users of JBoss Enterprise Application Platform 6.0.1 on Red Hat     Enterprise Linux 6 are advised to upgrade to these updated packages. The     JBoss server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Updated JBoss Enterprise Application Platform 6.1.0 packages that fix three security issues, various bugs, and add enhancements are now available for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

JBoss Enterprise Application Platform 6 is a platform for Java applications based on JBoss Application Server 7.

This release serves as a replacement for JBoss Enterprise Application Platform 6.0.1, and includes bug fixes and enhancements. Refer to the 6.1.0 Release Notes for information on the most significant of these changes, available shortly from https://access.redhat.com/site/documentation/

Security fixes :

XML encryption backwards compatibility attacks were found against various frameworks, including Apache CXF. An attacker could force a server to use insecure, legacy cryptosystems, even when secure cryptosystems were enabled on endpoints. By forcing the use of legacy cryptosystems, flaws such as CVE-2011-1096 and CVE-2011-2487 would be exposed, allowing plain text to be recovered from cryptograms and symmetric keys. (CVE-2012-5575)

Note: Automatic checks to prevent CVE-2012-5575 are only run when WS-SecurityPolicy is used to enforce security requirements. It is best practice to use WS-SecurityPolicy to enforce security requirements.

When applications running on JBoss Web used the COOKIE session tracking method, the org.apache.catalina.connector.Response.encodeURL() method returned the URL with the jsessionid appended as a query string parameter when processing the first request of a session. An attacker could possibly exploit this flaw by performing a man-in-the-middle attack to obtain a user's jsessionid and hijack their session, or by extracting the jsessionid from log files. Note that no session tracking method is used by default, one must be configured. (CVE-2012-4529)

If multiple applications used the same custom authorization module class name, and provided their own implementations of it, the first application to be loaded will have its implementation used for all other applications using the same custom authorization module class name. A local attacker could use this flaw to deploy a malicious application that provides implementations of custom authorization modules that permit or deny user access according to rules supplied by the attacker. (CVE-2012-4572)

Red Hat would like to thank Tibor Jager, Kenneth G. Paterson and Juraj Somorovsky of Ruhr-University Bochum for reporting CVE-2012-5575.
CVE-2012-4572 was discovered by Josef Cacek of the Red Hat JBoss EAP Quality Engineering team.

Warning: Before applying this update, back up your existing JBoss Enterprise Application Platform installation and deployed applications. Refer to the Solution section for further details.

All users of JBoss Enterprise Application Platform 6.0.1 on Red Hat Enterprise Linux 5 are advised to upgrade to these updated packages.
The JBoss server process must be restarted for the update to take effect.

3 つのセキュリティの問題とさまざまなバグを修正し、拡張機能を追加する更新 JBoss Enterprise Application Platform 6.1.0 パッケージが、現時点で Red Hat Enterprise Linux 5 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.1 の代替であり、バグ修正および拡張機能を含んでいます。これらの変更の内、最も重要なものに関する情報については 6.1.0 リリースノートを参照してください。以下の URL で近日中に公開されます。https://access.redhat.com/site/documentation/

セキュリティ修正：

XML 暗号化上位互換性の攻撃が、 Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、 CVE-2011-1096 や CVE-2011-2487 などの欠陥が現れ、暗号システやムや対称鍵から平文を復旧させることが可能です。(CVE-2012-5575)

注：CVE-2012-5575 を防ぐ自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用されたときだけ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

JBoss Web で実行されているアプリケーションがクッキーセッション追跡メソッドを使用すると、セッションの最初のリクエストを処理する際に、 org.apache.catalina.connector.Response.encodeURL() メソッドがクエリ文字列パラメーターとして追加された jsessionid のある URL を返しました。ユーザーの jsessionid を取得し、セッションをハイジャックするために中間者攻撃を実行することにより、あるいはログファイルから jsessionid を抽出することにより、攻撃者がこの欠陥を悪用することが可能です。セッション追跡メソッドはデフォルトでは使用されませんので注意してください。構成の必要があります。(CVE-2012-4529)

複数のアプリケーションが同じカスタム承認モジュールクラス名を使用し、固有の実装を提供した場合、ロードする最初のアプリケーションの実装が、同じカスタム承認モジュールクラス名を使用するすべての他のアプリケーションで使用されました。ローカルの攻撃者がこの欠陥を悪用して、カスタム承認モジュールの実装を提供する悪意あるアプリケーションを展開することが可能です。このアプリケーションは、攻撃者が規定するルールにしたがってユーザーアクセスを許可または却下します。(CVE-2012-4572)

Red Hat は、CVE-2012-5575 をレポートしてくれたルール大学ボーフムの Tibor Jager、Kenneth G. Paterson、Juraj Somorovsky に感謝の意を表します。
CVE-2012-4572 は、Red Hat JBoss EAP 品質工学チームの Josef Cacek により発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

Red Hat Enterprise Linux 5 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。
この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2013:0834 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

    このリリースは JBoss Enterprise Application Platform 6.0.1 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく https://access.redhat.com/site/documentation/ からアクセスできる 6.1.0 リリースノートを参照してください。

    セキュリティ修正:

    XML 暗号化後方互換性の攻撃が、Apache CXF を含むさまざまなフレームワークで見つかりました。攻撃者が、安全な暗号システムがエンドポイントで有効化されているときでも、サーバーに安全でないレガシーの暗号システムを使用させることが可能です。レガシーの暗号化システムを使用させることにより、CVE-2011-1096や CVE-2011-2487 などの欠陥が現れ、暗号システムやや対称鍵から平文を復旧させることが可能です。(CVE-2012-5575)

    注：CVE-2012-5575 を防ぐ自動チェックは、セキュリティ要件を実施するために WS-SecurityPolicy が使用されたときだけ実行されます。これは、セキュリティの要件を実施するために、WS-SecurityPolicy を使用するベストプラクティスです。

    JBoss Web で実行されているアプリケーションがクッキーセッション追跡メソッドを使用すると、セッションの最初のリクエストを処理する際に、org.apache.catalina.connector.Response.encodeURL() メソッドがクエリ文字列パラメーターとして追加された jsessionid のある URL を返しました。ユーザーの jsessionid を取得し、セッションをハイジャックするために中間者攻撃を実行することにより、あるいはログファイルから jsessionid を抽出することにより、攻撃者がこの欠陥を悪用することが可能です。セッション追跡メソッドはデフォルトでは使用されませんので注意してください。構成の必要があります。(CVE-2012-4529)

    複数のアプリケーションが同じカスタム承認モジュールクラス名を使用し、固有の実装を提供した場合、ロードする最初のアプリケーションの実装が、同じカスタム承認モジュールクラス名を使用するすべての他のアプリケーションで使用されました。ローカルの攻撃者がこの欠陥を悪用して、カスタム承認モジュールの実装を提供する悪意あるアプリケーションを展開することが可能です。このアプリケーションは、攻撃者が規定するルールにしたがってユーザーアクセスを許可または却下します。(CVE-2012-4572)

    Red Hat は、CVE-2012-5575をレポートしてくれたルール大学ボーフムの Tibor Jager、Kenneth G. Paterson、Juraj Somorovsky に感謝の意を表します。
    CVE-2012-4572 は、Red Hat JBoss EAP 品質工学チームの Josef Cacek により発見されました。

    警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。
    詳細については、ソリューションセクションを参照してください。

    Red Hat Enterprise Linux 6 上で JBoss Enterprise Application Platform 6.0.1 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:0834 公告中提及的多個弱點影響。

    JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

    此版本是 JBoss Enterprise Application Platform 6.0.1 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.1.0 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發布至 https://access.redhat.com/site/documentation/

    安全性更新：

    在多種架構中發現 XML 加密回溯相容性攻擊，其中包括 Apache CXF。即使已在端點上啟用安全密碼系統，攻擊者還是可強制伺服器使用不安全的舊式密碼系統。強制使用舊式密碼系統時，將會暴露 CVE-2011-1096 和 CVE-2011-2487 之類的瑕疵，這些瑕疵允許從密碼系統和對稱金鑰復原純文字。(CVE-2012-5575)

    注意：只有在使用 WS-SecurityPolicy 強制執行安全性需求時，才會執行防止 CVE-2012-5575 的自動檢查。最佳做法是使用 WS-SecurityPolicy 強制執行安全需求。

    在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，org.apache.catalina.connector.Response.encodeURL() 方法會在處理工作階段的第一個要求時，傳回附加 jsessionid 的 URL，做為查詢字串參數。攻擊者可能惡意利用此瑕疵，方法是，透過執行攔截式攻擊取得使用者的 jsessionid 並劫持其工作階段，或是透過從記錄檔擷取 jsessionid。請注意，預設不使用任何工作階段追蹤方法，但是必須設定一個。(CVE-2012-4529)

    如果多個應用程式使用相同的自訂授權模組類別名稱，並提供自己的實作，則要載入的第一個應用程式會使用相同的自訂授權模組類別名稱，將其實作用於其他所有應用程式。本機攻擊者可利用此瑕疵部署提供自訂授權模組實作的惡意應用程式，而且這些模組會根據攻擊者所提供的規則，允許或拒絕使用者存取。(CVE-2012-4572)

    Red Hat 要感謝 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 報告 CVE-2012-5575。
    CVE-2012-4572 是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現。

    警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。
    如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

    建議所有在 Red Hat Enterprise Linux 6 上使用 JBoss Enterprise Application Platform 6.0.1 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 JBoss Enterprise Application Platform 6.1.0 套件，可修正三個安全性問題、多個錯誤，並新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

此版本是 JBoss Enterprise Application Platform 6.0.1 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.1.0 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發佈至 https://access.redhat.com/site/documentation/

安全性修正：

在多個架構中發現 XML 加密回溯相容性攻擊，包括 Apache CXF。即使已在端點上啟用安全密碼系統，攻擊者還是可強制伺服器使用不安全的舊式密碼系統。強制使用舊式密碼系統時，將會暴露 CVE-2011-1096 和 CVE-2011-2487 之類的瑕疵，這些瑕疵允許從密碼系統和對稱金鑰復原純文字。(CVE-2012-5575)

注意：只有在使用 WS-SecurityPolicy 強制執行安全性需求時，才會執行防止 CVE-2012-5575 的自動檢查。最好的做法是使用 WS-SecurityPolicy 強制執行安全性需求。

在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，org.apache.catalina.connector.Response.encodeURL() 方法會在處理工作階段的第一個要求時，傳回附加 jsessionid 的 URL，做為查詢字串參數。攻擊者可能惡意利用此瑕疵，方法是，透過執行攔截式攻擊取得使用者的 jsessionid 並劫持其工作階段，或是透過從記錄檔擷取 jsessionid。請注意，預設不使用任何工作階段追蹤方法，但是必須設定一個。(CVE-2012-4529)

如果多個應用程式使用相同的自訂授權模組類別名稱，並提供自己的實作，則要載入的第一個應用程式會使用相同的自訂授權模組類別名稱，將其實作用於其他所有應用程式。本機攻擊者可利用此瑕疵部署提供自訂授權模組實作的惡意應用程式，而且這些模組會根據攻擊者所提供的規則，允許或拒絕使用者存取。(CVE-2012-4572)

Red Hat 要感謝 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 報告 CVE-2012-5575。
CVE-2012-4572 是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現。

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

建議所有在 Red Hat Enterprise Linux 5 上使用 JBoss Enterprise Application Platform 6.0.1 的使用者皆升級至這些更新版套件。
必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

The version of JBoss Enterprise Application Platform 6.0.1 running on the remote system is vulnerable to the following issues:

  - A man-in-the-middle attack is possible when applications     running on JBoss Web use the COOKIE session tracking     method. The flaw is in the     org.apache.catalina.connector.Response.encodeURL()     method. By making use of this, an attacker could obtain     a user's jsessionid and hijack their session.
    (CVE-2012-4529)

  - If multiple applications used the same custom     authorization module class name, a local attacker could     deploy a malicious application authorization module that     would permit or deny user access. (CVE-2012-4572)

  - XML encryption backwards compatibility attacks could     allow an attacker to force a server to use insecure     legacy cryptosystems. (CVE-2012-5575)

  - A NULL pointer dereference flaw could allow a malicious     OCSP to crash applications performing OCSP verification.
    (CVE-2013-0166)

  - An OpenSSL leaks timing information issue exists that     could allow a remote attacker to retrieve plaintext     from the encrypted packets. (CVE-2013-0169)

  - The JBoss Enterprise Application Platform administrator     password and the sucker password are stored in a world-     readable, auto-install XML file created by the GUI     installer. (CVE-2013-0218)

  - Tomcat incorrectly handles certain authentication     requests. A remote attacker could use this flaw to     inject a request that would get executed with a victim's     credentials. (CVE-2013-2067)

The version of JBoss Enterprise Portal Platform on the remote system is affected by the following issues:

  - A flaw in CSRF prevention filter in JBoss Web could allow     remote attackers to bypass the cross-site request forgery     (CSRF) protection mechanism via a request that lacks a     session identifier. (CVE-2012-4431)

  - A flaw that occurs when the COOKIE session tracking     method is used can allow attackers to hijack users'     sessions. (CVE-2012-4529)

  - A flaw that occurs when multiple applications use the     same custom authorization module class name can allow a     local attacker to deploy a malicious application that     overrides the custom authorization modules provided by     other applications. (CVE-2012-4572)

  - The framework does not verify that a specified     cryptographic algorithm is allowed by the     WS-SecurityPolicy AlgorithmSuite definition before     decrypting.  This can allow remote attackers to force     the system to use weaker cryptographic algorithms than     intended and makes it easier to decrypt communications.
    (CVE-2012-5575)

  - A flaw in PicketBox can allow local users to obtain the     admin encryption key by reading the Vault data file.
    (CVE-2013-1921)

  - A session fixation flaw was found in the     FormAuthenticator module. (CVE-2013-2067)

  - A flaw that occurs when a JGroups channel was started     results in the JGroups diagnostics service being enabled     by default with no authentication via IP multicast. A     remote attacker can make use of this flaw to read     diagnostics information. (CVE-2013-2102)

  - A flaw in the StAX parser implementation can allow     remote attackers to cause a denial of service via     crafted XML. (CVE-2013-2160)

  - A flaw in Apache Santuario XML Security can allow     context-dependent attackers to spoof an XML Signature     by using the CanonicalizationMethod parameter to     specify an arbitrary weak algorithm. (CVE-2013-2172)

  - A flaw in JGroup's DiagnosticsHandler can allow remote     attackers to obtain sensitive information and execute     arbitrary code by re-using valid credentials.
    (CVE-2013-4112)

  - A flaw in the manner in which authenticated connections     were cached on the server by remote-naming can allow     remote attackers to hijack sessions by using a remoting     client. (CVE-2013-4128)

  - A flaw in the manner in which connections for EJB     invocations were cached on the server can allow remote     attackers to hijack sessions by using an EJB client.
    (CVE-2013-4213)

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:0834 公告中提及的多个漏洞影响。

    JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    此版本可替换 JBoss Enterprise Application Platform 6.0.1，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.1.0 发行说明，具体内容短期内将于 https://access.redhat.com/site/documentation/ 中提供

    安全修复：

    发现各种框架（包括 Apache CXF）中均存在 XML 加密向后兼容性攻击。攻击者可强制服务器使用不安全的旧版密码系统，即使当端点启用安全加密系统时。通过强制使用旧版加密系统，将暴露 CVE-2011-1096 和 CVE-2011-2487 等缺陷，并允许纯文本通过密文和对称密钥恢复。(CVE-2012-5575)

    注意：仅当 WS-SecurityPolicy 用于执行安全要求时，才运行可防止 CVE-2012-5575 的自动检查。使用 WS-SecurityPolicy 执行安全要求为最佳做法。

    当 JBoss Web 上运行的应用程序使用 COOKIE 会话跟踪方法时，org.apache.catalina.connector.Response.encodeURL() 方法将在处理第一个会话请求时返回 URL（包含附加为查询字符串参数的 jsessionid）。攻击者可能利用此缺陷，通过执行中间人攻击来获取用户的 jsessionid 并点击劫持其会话，或者从日志文件中提取 jsessionid。请注意，默认未使用任何会话跟踪方法，必须配置一种方法。(CVE-2012-4529)

    如果多个应用程序采用同一自定义授权模块类名称，并提供其自有实现，被加载的第一个应用程序会将其实现用于使用同一自定义授权模块类名称的所有其他应用程序。本地攻击者可利用此缺陷部署恶意应用程序，从而提供自定义授权模块实现，并根据攻击者提供的规则允许或禁止用户访问。(CVE-2012-4572)

    Red Hat 在此感谢 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 报告 CVE-2012-5575。
    CVE-2012-4572 由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现。

    警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。
    有关更多详细信息，请参阅“解决方案”部分。

    建议 Red Hat Enterprise Linux 6 中的所有 JBoss Enterprise Application Platform 6.0.1 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 JBoss Enterprise Application Platform 6.1.0 程序包修复了三个安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.1，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.1.0 发行说明，具体内容短期内将于以下网址中提供：https://access.redhat.com/site/documentation/

安全补丁：

发现各种框架（包括 Apache CXF）中均存在 XML 加密向后兼容性攻击。攻击者可强制服务器使用不安全的旧版密码系统，即使当端点启用安全加密系统时。通过强制使用旧版加密系统，将暴露 CVE-2011-1096 和 CVE-2011-2487 等缺陷，并允许纯文本通过密文和对称密钥恢复。(CVE-2012-5575)

注意：仅当 WS-SecurityPolicy 用于执行安全要求时，才运行可防止 CVE-2012-5575 的自动检查。使用 WS-SecurityPolicy 执行安全要求为最佳做法。

当 JBoss Web 上运行的应用程序使用 COOKIE 会话跟踪方法时，org.apache.catalina.connector.Response.encodeURL() 方法将在处理第一个会话请求时返回 URL（包含附加为查询字符串参数的 jsessionid）。攻击者可能利用此缺陷，通过执行中间人攻击来获取用户的 jsessionid 并点击劫持其会话，或者从日志文件中提取 jsessionid。请注意，默认未使用任何会话跟踪方法，必须配置一种方法。(CVE-2012-4529)

如果多个应用程序采用同一自定义授权模块类名称，并提供其自有实现，被加载的第一个应用程序会将其实现用于使用同一自定义授权模块类名称的所有其他应用程序。本地攻击者可利用此缺陷部署恶意应用程序，从而提供自定义授权模块实现，并根据攻击者提供的规则允许或禁止用户访问。(CVE-2012-4572)

Red Hat 在此感谢 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 报告 CVE-2012-5575。
CVE-2012-4572 由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

建议 Red Hat Enterprise Linux 5 中的所有 JBoss Enterprise Application Platform 6.0.1 用户升级这些更新后的程序包。
必须重新启动 JBoss 服务器进程才能使更新生效。

リモートシステムで実行されている JBoss Enterprise Application Platform 6.0.1 のバージョンは、以下の問題に脆弱です：

- JBoss Web で実行しているアプリケーションが COOKIE セッショントラッキングメソッドを使用している際に、中間者攻撃が行える可能性があります。この欠陥は、org.apache.catalina.connector.Response.encodeURL() メソッドにあります。これを利用することで、攻撃者がユーザーの jsessioned を取得し、セッションをハイジャックする可能性があります。
 (CVE-2012-4529)

- 複数のアプリケーションが同じカスタム承認モジュールクラス名を使用する場合、ローカルの攻撃者が、ユーザーアクセスを許可または拒否する悪意のあるアプリケーション承認モジュールを展開する可能性があります。(CVE-2012-4572)

- XML 暗号化の下位互換性攻撃により、攻撃者がサーバーに、安全でない従来の cryptosystem の使用を強制する可能性があります。(CVE-2012-5575)

- NULL ポインターデリファレンスの欠陥により、悪意のある OCSP が OCSP 検証を行うアプリケーションをクラッシュさせる可能性があります。
 (CVE-2013-0166)

- OpenSSL 漏洩タイミング情報の問題が存在しており、リモートの攻撃者が暗号化されたパケットから平文を取得できる可能性があります。(CVE-2013-0169)

- JBoss Enterprise Application Platform の管理者パスワードおよび Sucker パスワードは、GUI インストーラーが作成した、誰でも読み込みできる、auto-install XML ファイルに保存されています。(CVE-2013-0218)

- Tomcat は、特定の認証リクエストを不適切に処理しています。リモートの攻撃者がこの欠陥を利用して、リクエストを注入する可能性があります。このようなリクエストは、被害者の認証情報で実行されます。(CVE-2013-2067)

リモートシステムにある JBoss Enterprise Portal Platform のバージョンは、以下の問題の影響を受けます：

- JBoss Web での CSRF 防止フィルターに欠陥があるため、リモートの攻撃者が、セッション識別子が欠落しているリクエストを介して、クロスサイトリクエスト偽造（CSRF）の保護メカニズムをバイパスする可能性があります。（CVE-2012-4431）

- COOKIE セッション追跡メソッドを使用する場合に発生する欠陥があるため、攻撃者が、ユーザーのセッションをハイジャックする可能性があります。（CVE-2012-4529）

- 複数のアプリケーションが同じカスタム承認モジュールのクラス名を使用する場合に発生する欠陥があるため、ローカルの攻撃者が、悪意あるアプリケーションを展開して、別のアプリケーションにより提供されるカスタム承認モジュールをオーバーライドする可能性があります。（CVE-2012-4572）

- フレームワークは、指定された暗号アルゴリズムが WS-SecurityPolicy AlgorithmSuite 定義により許可されていることを、復号化する前に検証していません。これにより、リモートの攻撃者が、意図したよりも脆弱な暗号アルゴリズムをシステムに使用させることで、通信をより簡単に復号化できるようになります。
 （CVE-2012-5575）

- PicketBox での欠陥により、ローカルユーザーが、Vault データファイルを読み込むことで、管理者の暗号化キーを取得する可能性があります。
 （CVE-2013-1921）

- FormAuthenticator モジュールに、セッション固定攻撃の欠陥が見つかりました。（CVE-2013-2067）

- JGroups チャネルが起動されるときに発生する欠陥があるため、デフォルトで有効な JGroups 診断サービスは、IP マルチキャストを介して、認証を行わないようになります。リモートの攻撃者が、この欠陥を利用して、診断情報を読み取る可能性があります。（CVE-2013-2102）

- StAX パーサーの実装に欠陥があるため、リモートの攻撃者が、細工された XML を介して、サービス拒否を引き起こす可能性があります。（CVE-2013-2160）

- Apache Santuario XML Security の欠陥により、コンテキスト依存の攻撃者が、CanonicalizationMethod パラメーターを使用して任意の弱いアルゴリズムを指定することで、XML 署名を偽装する可能性があります。（CVE-2013-2172）

- JGroup の DiagnosticsHandler での欠陥により、リモートの攻撃者が、有効な認証情報を再利用することで、機密情報を取得し、任意のコードを実行する可能性があります。
 （CVE-2013-4112）

- 認証された接続がリモートの名前ごとにサーバーでキャッシュされる方法に欠陥があるため、リモートの攻撃者が、リモートのクライアントを使用することで、セッションをハイジャックする可能性があります。（CVE-2013-4128）

- EJB 起動用の接続がサーバーでキャッシュされる方法に欠陥があるため、リモートの攻撃者が、EJB クライアントを使用することで、セッションをハイジャックする可能性があります。
 （CVE-2013-4213）

遠端系統上執行的 JBoss Enterprise Application Platform 6.0.1 版本受到下列問題影響：

- 在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，可能遭受攔截式攻擊。瑕疵位於 org.apache.catalina.connector.Response.encodeURL() 方法中。攻擊者可利用此瑕疵，取得使用者的　jsessionid 並劫持其工作階段。
 (CVE-2012-4529)

- 如果有多個應用程式使用相同的自訂授權模組類別名稱，則本機攻擊者可部署將允許或拒絕使用者存取的惡意應用程式授權模組。(CVE-2012-4572)

- XML 加密回溯相容性攻擊可允許攻擊者強制伺服器使用不安全的舊式密碼系統。(CVE-2012-5575)

- 存在一個 NULL 指標解除參照瑕疵，可允許惡意 OCSP 損毀執行 OCSP 驗證的應用程式。
 (CVE-2013-0166)

- 存在一個 OpenSSL 洩漏定時資訊問題，可允許遠端攻擊者從加密的封包中擷取純文字。(CVE-2013-0169)

- JBoss Enterprise Application Platform 的系統管理員密碼和 sucker 密碼會儲存在任何人皆可讀取的自動安裝 XML 檔案中，其由 GUI 安裝程式建立。(CVE-2013-0218)

- Tomcat 未正確處理特定驗證要求。遠端攻擊者可利用此瑕疵，插入能以受害者認證執行的要求。(CVE-2013-2067)

遠端系統上的 JBoss Enterprise Portal Platform 受到下列問題影響：

- JBoss Web 中的 CSRF 保護篩選功能有一個瑕疵，可允許遠端攻擊者透過缺少工作階段識別碼的要求，繞過跨網站要求偽造 (CSRF) 保護機制。(CVE-2012-4431)

- 使用 COOKIE 工作階段追蹤方法時出現一個瑕疵，可允許攻擊者劫持使用者的工作階段。(CVE-2012-4529)

- 多個應用程式使用相同自訂授權模組類別名稱時出現一個瑕疵，可允許本機攻擊者部署惡意應用程式，用以覆寫其他應用程式提供的自訂授權模組。(CVE-2012-4572)

- 架構未在解密前驗證 WS-SecurityPolicy AlgorithmSuite 定義是否允許指定的密碼編譯演算法。這可允許遠端攻擊者強制系統使用比預定還弱式的密碼編譯演算法，且使得解密通訊更為容易。
 (CVE-2012-5575)

- PicketBox 中的瑕疵可能會允許本機使用者藉由讀取 Vault 資料檔案來取得管理員加密金鑰。
 (CVE-2013-1921)

- 在 FormAuthenticator 模組中發現一個工作階段固定瑕疵。(CVE-2013-2067)

- JGroups 通道啟動時出現一個瑕疵，導致系統透過 IP 多點傳送，未經驗證即預設為啟用 JGroups 診斷服務。遠端攻擊者可利用此瑕疵讀取診斷資訊。(CVE-2013-2102)

- StAX 剖析器實作中的一個瑕疵可允許遠端攻擊者透過特製 XML 造成拒絕服務。(CVE-2013-2160)

- Apache Santuario XML 安全性的瑕疵可能會允許內容相依的攻擊者使用 CanonicalizationMethod 參數來指定任意弱式演算法，藉此偽造 XML 簽章。(CVE-2013-2172)

- JGroup 的 DiagnosticsHandler 有瑕疵，可能會允許遠端攻擊者藉由重複使用有效認證來取得敏感資訊和執行任意程式碼。
 (CVE-2013-4112)

- remote-naming 在伺服器上快取經驗證的連線時有一個瑕疵，可允許遠端攻擊者使用遠端用戶端劫持工作階段。(CVE-2013-4128)

- 在伺服器上快取 EJB 叫用的連線時有一個瑕疵，可允許遠端攻擊者使用 EJB 用戶端劫持工作階段。
 (CVE-2013-4213)

远程系统上运行的 JBoss Enterprise Application Platform 6.0.1 版本容易受到以下问题的影响：

- 应用程序在使用 COOKIE 会话跟踪方法的 JBoss Web 上运行时可能受到中间人攻击。org.apache.catalina.connector.Response.encodeURL() 方法中存在缺陷。通过利用此缺陷，攻击者可获取用户的 jsessionid 并劫持其会话。
 (CVE-2012-4529)

- 如果多个应用程序使用相同的自定义授权模块类名称，本地攻击者可部署允许或拒绝用户访问的恶意应用程序授权模块。(CVE-2012-4572)

- XML 加密向后兼容性攻击可允许攻击者强制服务器使用不安全的传统加密系统。(CVE-2012-5575)

- 空指针取消引用缺陷可允许恶意 OCSP 导致执行 OCSP 验证的应用程序崩溃。
 (CVE-2013-0166)

- 存在 OpenSSL 泄漏计时信息问题，可允许远程攻击者从加密的数据包提取明文。(CVE-2013-0169)

- JBoss Enterprise Application Platform 管理员密码和受骗者密码存储在由 GUI 安装程序创建的、全局可读的自动安装 XML 文件中。(CVE-2013-0218)

- Tomcat 未正确处理某些认证请求。远程攻击者可利用此缺陷注入请求，然后以受害者的凭据执行该请求。(CVE-2013-2067)

远程系统上的 JBoss Enterprise Portal Platform 版本受到以下问题的影响：

- JBoss Web 的 CSRF 阻止过滤器中的缺陷可允许远程攻击者通过缺少会话标识符的请求来绕过跨站请求伪造 (CSRF) 保护机制。(CVE-2012-4431)

- 在使用 COOKIE 会话跟踪方法时出现的缺陷，可允许攻击者劫持用户的会话。(CVE-2012-4529)

- 当多个应用程序使用同一个自定义授权模块类名称时出现的缺陷，可允许本地攻击者部署恶意的应用程序（可替代其他应用程序所提供的自定义授权模块）。(CVE-2012-4572)

- 框架在解密之前未验证 WS-SecurityPolicy AlgorithmSuite 定义是否允许特定的加密算法.这可允许远程攻击者强迫系统使用较弱的加密算法而非预期算法，并且更容易对通信进行解码。
 (CVE-2012-5575)

- PicketBox 中的缺陷可允许本地用户通过读取 Vault 数据文件，获取 admin 加密密钥。
 (CVE-2013-1921)

在 FormAuthenticator 模块中发现会话固定缺陷。(CVE-2013-2067)

- 在启动 JGroups 通道时出现的缺陷可导致未经认证即可通过 IP 多播默认启用 JGroups 诊断服务。远程攻击者可利用此缺陷读取诊断信息。(CVE-2013-2102)

- StAX 解析器实现中的缺陷可允许远程攻击者通过构建的 XML 造成拒绝服务。(CVE-2013-2160)

- Apache Santuario XML Security 中的缺陷可允许上下文有关的攻击者通过使用 CanonicalizationMethod 参数，欺骗 XML 签名指定任意弱算法。(CVE-2013-2172)

- JGroup 的 DiagnosticsHandler 中的缺陷可允许远程攻击者通过重新使用有效的凭据，获取敏感信息和执行任意代码。
 (CVE-2013-4112)

- 在通过远程命名将已认证的连接缓存到服务器的方式中存在缺陷，可允许远程攻击者通过使用远程处理客户端劫持会话。(CVE-2013-4128)

- 将 EJB 调用的连接缓存到服务器的方式存在缺陷，可允许远程攻击者通过使用 EJB 客户端劫持会话。
 (CVE-2013-4213)

ID	名稱	產品	系列	已發布	已更新	嚴重性
66522	RHEL 6 : JBoss Enterprise Application Platform 6.1.0 update (Important) (RHSA-2013:0834)	Nessus	Red Hat Local Security Checks	2013/5/21	2025/3/20	medium
66523	RHEL 5 : JBoss EAP (RHSA-2013:0839)	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66523	RHEL 5：JBoss EAP（RHSA-2013:0839）	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66522	RHEL 6 : JBoss Enterprise Application Platform 6.1.0 の更新プログラム (重要度高) (RHSA-2013:0834)	Nessus	Red Hat Local Security Checks	2013/5/21	2025/3/20	medium
66522	RHEL 6：JBoss 企業應用程式平台 6.1.0 版更新 (重要) (RHSA-2013:0834)	Nessus	Red Hat Local Security Checks	2013/5/21	2025/3/20	medium
66523	RHEL 5：JBoss EAP (RHSA-2013:0839)	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66971	JBoss Enterprise Application Platform 6.1.0 Update (RHSA-2013:0833)	Nessus	Red Hat Local Security Checks	2013/6/24	2022/12/5	high
72237	JBoss Portal 6.1.0 Update (RHSA-2013:1437)	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high
66522	RHEL 6：JBoss Enterprise Application Platform 6.1.0 更新（重要）(RHSA-2013:0834)	Nessus	Red Hat Local Security Checks	2013/5/21	2025/3/20	medium
66523	RHEL 5：JBoss EAP (RHSA-2013:0839)	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66971	JBoss Enterprise Application Platform 6.1.0 更新（RHSA-2013:0833）	Nessus	Red Hat Local Security Checks	2013/6/24	2022/12/5	high
72237	JBoss Portal 6.1.0 更新（RHSA-2013:1437）	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high
66971	JBoss Enterprise Application Platform 6.1.0 更新 (RHSA-2013:0833)	Nessus	Red Hat Local Security Checks	2013/6/24	2022/12/5	high
72237	JBoss Portal 6.1.0 更新 (RHSA-2013:1437)	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high
66971	JBoss Enterprise Application Platform 6.1.0 更新 (RHSA-2013:0833)	Nessus	Red Hat Local Security Checks	2013/6/24	2022/12/5	high
72237	JBoss Portal 6.1.0 更新 (RHSA-2013:1437)	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

high

high

medium

medium

high

high

high

high

high

high