遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:0834 公告中提及的多個弱點影響。

    JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

    此版本是 JBoss Enterprise Application Platform 6.0.1 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.1.0 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發布至 https://access.redhat.com/site/documentation/

    安全性更新：

    在多種架構中發現 XML 加密回溯相容性攻擊，其中包括 Apache CXF。即使已在端點上啟用安全密碼系統，攻擊者還是可強制伺服器使用不安全的舊式密碼系統。強制使用舊式密碼系統時，將會暴露 CVE-2011-1096 和 CVE-2011-2487 之類的瑕疵，這些瑕疵允許從密碼系統和對稱金鑰復原純文字。(CVE-2012-5575)

    注意：只有在使用 WS-SecurityPolicy 強制執行安全性需求時，才會執行防止 CVE-2012-5575 的自動檢查。最佳做法是使用 WS-SecurityPolicy 強制執行安全需求。

    在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，org.apache.catalina.connector.Response.encodeURL() 方法會在處理工作階段的第一個要求時，傳回附加 jsessionid 的 URL，做為查詢字串參數。攻擊者可能惡意利用此瑕疵，方法是，透過執行攔截式攻擊取得使用者的 jsessionid 並劫持其工作階段，或是透過從記錄檔擷取 jsessionid。請注意，預設不使用任何工作階段追蹤方法，但是必須設定一個。(CVE-2012-4529)

    如果多個應用程式使用相同的自訂授權模組類別名稱，並提供自己的實作，則要載入的第一個應用程式會使用相同的自訂授權模組類別名稱，將其實作用於其他所有應用程式。本機攻擊者可利用此瑕疵部署提供自訂授權模組實作的惡意應用程式，而且這些模組會根據攻擊者所提供的規則，允許或拒絕使用者存取。(CVE-2012-4572)

    Red Hat 要感謝 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 報告 CVE-2012-5575。
    CVE-2012-4572 是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現。

    警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。
    如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

    建議所有在 Red Hat Enterprise Linux 6 上使用 JBoss Enterprise Application Platform 6.0.1 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 5 / 6 主機上安裝的套件受到 RHSA-2013:0874 公告中提及的弱點影響。

    Enterprise Web Platform 是 JBoss Enterprise Application Platform 的精簡設定檔，適用於具有輕量和豐富 Java 應用程式的中型工作負載。

    在多種架構中發現 XML 加密回溯相容性攻擊，其中包括 Apache CXF。即使已在端點上啟用安全密碼系統，攻擊者還是可強制伺服器使用不安全的舊式密碼系統。強制使用舊式密碼系統時，將會暴露 CVE-2011-1096 和 CVE-2011-2487 之類的瑕疵，這些瑕疵允許從密碼系統和對稱金鑰復原純文字。此問題同時影響 JBoss Web Services CXF (jbossws-cxf) 和 JBoss Web Services Native (jbossws-native) 堆疊。(CVE-2012-5575)

    Red Hat 要感謝 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 報告此問題。

    如果您正在使用 jbossws-cxf，則只有在使用 WS-SecurityPolicy 強制執行安全性需求時，才會執行防止此瑕疵的自動檢查。最佳做法是使用 WS-SecurityPolicy 強制執行安全需求。

    如果您正在使用 jbossws-native，「encryption」元素中的兩個新組態參數便會實作此瑕疵的修正。此元素可能是用戶端和伺服器 wsse 組態描述符號 (透過應用程式之 jboss-wsse-server.xml 和 jboss-wsse-client.xml 檔案，設定以每個應用程式為基礎) 中的子「需求」。新屬性為「algorithms」和「keyWrapAlgorithms」。這些屬性應包含一個以空白或逗號分隔的演算法 ID 清單，這些 ID 允許存取加密的傳入訊息，同時適用於加密和私密金鑰包裝。為了回溯相容性，依預設不會針對空白清單或遺漏的屬性執行任何演算法檢查。

    例如 (請勿將分行符號納入組態中)：

    encryption algorithms=aes-192-gcm aes-256-gcm keyWrapAlgorithms=rsa_oaep

    請指定傳入訊息必須經過加密，並且只允許 GCM 模式中的 AES-192 和 256 加密演算法，而 RSA-OAEP 僅適用於金鑰包裝。

    在執行任何解密之前，jbossws-native 堆疊會先驗證傳入訊息指定的每個演算法是否已納入這些新加密元素屬性所允許的演算法清單中。用於「algorithms」和「keyWrapAlgorithms」的演算法值與「encrypt」元素之「algorithm」和「keyWrapAlgorithm」的演算法值相同。

    警告：套用此更新之前，請先備份現有的 JBoss Enterprise Web Platform 安裝 (包括所有應用程式和設定檔)。

    建議在 Red Hat Enterprise Linux 4、5 和 6 上的所有 JBoss Enterprise Web Platform 5.2.0 使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 JBoss Enterprise Application Platform 6.1.0 套件，可修正三個安全性問題、多個錯誤，並新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並適用於 Java 應用程式的平台。

此版本是 JBoss Enterprise Application Platform 6.0.1 的替代版本，其中包含錯誤修正和增強功能。請參閱 6.1.0 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發佈至 https://access.redhat.com/site/documentation/

安全性修正：

在多個架構中發現 XML 加密回溯相容性攻擊，包括 Apache CXF。即使已在端點上啟用安全密碼系統，攻擊者還是可強制伺服器使用不安全的舊式密碼系統。強制使用舊式密碼系統時，將會暴露 CVE-2011-1096 和 CVE-2011-2487 之類的瑕疵，這些瑕疵允許從密碼系統和對稱金鑰復原純文字。(CVE-2012-5575)

注意：只有在使用 WS-SecurityPolicy 強制執行安全性需求時，才會執行防止 CVE-2012-5575 的自動檢查。最好的做法是使用 WS-SecurityPolicy 強制執行安全性需求。

在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，org.apache.catalina.connector.Response.encodeURL() 方法會在處理工作階段的第一個要求時，傳回附加 jsessionid 的 URL，做為查詢字串參數。攻擊者可能惡意利用此瑕疵，方法是，透過執行攔截式攻擊取得使用者的 jsessionid 並劫持其工作階段，或是透過從記錄檔擷取 jsessionid。請注意，預設不使用任何工作階段追蹤方法，但是必須設定一個。(CVE-2012-4529)

如果多個應用程式使用相同的自訂授權模組類別名稱，並提供自己的實作，則要載入的第一個應用程式會使用相同的自訂授權模組類別名稱，將其實作用於其他所有應用程式。本機攻擊者可利用此瑕疵部署提供自訂授權模組實作的惡意應用程式，而且這些模組會根據攻擊者所提供的規則，允許或拒絕使用者存取。(CVE-2012-4572)

Red Hat 要感謝 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 報告 CVE-2012-5575。
CVE-2012-4572 是由 Red Hat JBoss EAP 品質工程團隊的 Josef Cacek 所發現。

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝和已部署的應用程式。如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

建議所有在 Red Hat Enterprise Linux 5 上使用 JBoss Enterprise Application Platform 6.0.1 的使用者皆升級至這些更新版套件。
必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 的更新版 JBoss Enterprise Application Platform 5.2.0 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 是一個適用於 Java 應用程式的平台，其整合了 JBoss Application Server、JBoss Hibernate 和 JBoss Seam。

在多個架構中發現 XML 加密回溯相容性攻擊，包括 Apache CXF。即使已在端點上啟用安全密碼系統，攻擊者還是可強制伺服器使用不安全的舊式密碼系統。強制使用舊式密碼系統時，將會暴露 CVE-2011-1096 和 CVE-2011-2487 之類的瑕疵，這些瑕疵允許從密碼系統和對稱金鑰復原純文字。此問題同時影響 JBoss Web Services CXF (jbossws-cxf) 和 JBoss Web Services Native (jbossws-native) 堆疊。
(CVE-2012-5575)

Red Hat 要感謝 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 報告此問題。

如果您正在使用 jbossws-cxf，則只有在使用 WS-SecurityPolicy 強制執行安全性需求時，才會執行防止此瑕疵的自動檢查。最好的做法是使用 WS-SecurityPolicy 強制執行安全性需求。

如果您正在使用 jbossws-native，「encryption」元素中的兩個新組態參數便會實作此瑕疵的修正。此元素可能是用戶端和伺服器 wsse 組態描述符號 (透過應用程式之 jboss-wsse-server.xml 和 jboss-wsse-client.xml 檔案，設定以每個應用程式為基礎) 中的子「需求」。
新屬性為「algorithms」和「keyWrapAlgorithms」。這些屬性應包含一個以空白或逗號分隔的演算法 ID 清單，這些 ID 允許存取加密的傳入訊息，同時適用於加密和私密金鑰包裝。為了回溯相容性，依預設不會針對空白清單或遺漏的屬性執行任何演算法檢查。

例如 (請勿將分行符號納入組態中)：

encryption algorithms='aes-192-gcm aes-256-gcm' keyWrapAlgorithms='rsa_oaep'

請指定傳入訊息必須經過加密，並且只允許 GCM 模式中的 AES-192 和 256 加密演算法，而 RSA-OAEP 僅適用於金鑰包裝。

在執行任何解密之前，jbossws-native 堆疊會先驗證傳入訊息指定的每個演算法是否已納入這些新加密元素屬性所允許的演算法清單中。用於「algorithms」和「keyWrapAlgorithms」的演算法值與「encrypt」元素之「algorithm」和「keyWrapAlgorithm」的演算法值相同。

警告：套用此更新之前，請先備份現有的 JBoss Enterprise Application Platform 安裝 (包括所有應用程式和組態檔)。

建議所有在 Red Hat Enterprise Linux 4、5 和 6 上使用 JBoss Enterprise Application Platform 5.2.0 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

遠端系統上的 JBoss Enterprise Portal Platform 受到下列問題影響：

- JBoss Web 中的 CSRF 保護篩選功能有一個瑕疵，可允許遠端攻擊者透過缺少工作階段識別碼的要求，繞過跨網站要求偽造 (CSRF) 保護機制。(CVE-2012-4431)

- 使用 COOKIE 工作階段追蹤方法時出現一個瑕疵，可允許攻擊者劫持使用者的工作階段。(CVE-2012-4529)

- 多個應用程式使用相同自訂授權模組類別名稱時出現一個瑕疵，可允許本機攻擊者部署惡意應用程式，用以覆寫其他應用程式提供的自訂授權模組。(CVE-2012-4572)

- 架構未在解密前驗證 WS-SecurityPolicy AlgorithmSuite 定義是否允許指定的密碼編譯演算法。這可允許遠端攻擊者強制系統使用比預定還弱式的密碼編譯演算法，且使得解密通訊更為容易。
 (CVE-2012-5575)

- PicketBox 中的瑕疵可能會允許本機使用者藉由讀取 Vault 資料檔案來取得管理員加密金鑰。
 (CVE-2013-1921)

- 在 FormAuthenticator 模組中發現一個工作階段固定瑕疵。(CVE-2013-2067)

- JGroups 通道啟動時出現一個瑕疵，導致系統透過 IP 多點傳送，未經驗證即預設為啟用 JGroups 診斷服務。遠端攻擊者可利用此瑕疵讀取診斷資訊。(CVE-2013-2102)

- StAX 剖析器實作中的一個瑕疵可允許遠端攻擊者透過特製 XML 造成拒絕服務。(CVE-2013-2160)

- Apache Santuario XML 安全性的瑕疵可能會允許內容相依的攻擊者使用 CanonicalizationMethod 參數來指定任意弱式演算法，藉此偽造 XML 簽章。(CVE-2013-2172)

- JGroup 的 DiagnosticsHandler 有瑕疵，可能會允許遠端攻擊者藉由重複使用有效認證來取得敏感資訊和執行任意程式碼。
 (CVE-2013-4112)

- remote-naming 在伺服器上快取經驗證的連線時有一個瑕疵，可允許遠端攻擊者使用遠端用戶端劫持工作階段。(CVE-2013-4128)

- 在伺服器上快取 EJB 叫用的連線時有一個瑕疵，可允許遠端攻擊者使用 EJB 用戶端劫持工作階段。
 (CVE-2013-4213)

遠端系統上執行的 JBoss Enterprise Application Platform 6.0.1 版本受到下列問題影響：

- 在 JBoss Web 上執行的應用程式使用 COOKIE 工作階段追蹤方法時，可能遭受攔截式攻擊。瑕疵位於 org.apache.catalina.connector.Response.encodeURL() 方法中。攻擊者可利用此瑕疵，取得使用者的　jsessionid 並劫持其工作階段。
 (CVE-2012-4529)

- 如果有多個應用程式使用相同的自訂授權模組類別名稱，則本機攻擊者可部署將允許或拒絕使用者存取的惡意應用程式授權模組。(CVE-2012-4572)

- XML 加密回溯相容性攻擊可允許攻擊者強制伺服器使用不安全的舊式密碼系統。(CVE-2012-5575)

- 存在一個 NULL 指標解除參照瑕疵，可允許惡意 OCSP 損毀執行 OCSP 驗證的應用程式。
 (CVE-2013-0166)

- 存在一個 OpenSSL 洩漏定時資訊問題，可允許遠端攻擊者從加密的封包中擷取純文字。(CVE-2013-0169)

- JBoss Enterprise Application Platform 的系統管理員密碼和 sucker 密碼會儲存在任何人皆可讀取的自動安裝 XML 檔案中，其由 GUI 安裝程式建立。(CVE-2013-0218)

- Tomcat 未正確處理特定驗證要求。遠端攻擊者可利用此瑕疵，插入能以受害者認證執行的要求。(CVE-2013-2067)

ID	名稱	產品	系列	已發布	已更新	嚴重性
66522	RHEL 6：JBoss 企業應用程式平台 6.1.0 版更新 (重要) (RHSA-2013:0834)	Nessus	Red Hat Local Security Checks	2013/5/21	2025/3/20	medium
210215	RHEL 5 / 6：JBoss Enterprise Web Platform 5.2.0 (RHSA-2013:0874)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	medium
66523	RHEL 5：JBoss EAP (RHSA-2013:0839)	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66662	RHEL 4 / 5 / 6：JBoss EAP (RHSA-2013:0873)	Nessus	Red Hat Local Security Checks	2013/5/29	2021/1/14	medium
72237	JBoss Portal 6.1.0 更新 (RHSA-2013:1437)	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high
66971	JBoss Enterprise Application Platform 6.1.0 更新 (RHSA-2013:0833)	Nessus	Red Hat Local Security Checks	2013/6/24	2022/12/5	high

偵測

搜尋 Plugin

medium

medium

medium

medium

high

high