現已提供適用於 Red Hat Enterprise Linux 7 之 Red Hat JBoss Enterprise Application Platform 7.1 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。此 Red Hat JBoss Enterprise Application Platform 7.1.0 版本是 Red Hat JBoss Enterprise Application Platform 7.0.0 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。安全性修正：* 將長要求傳送至 EAP 7 時，可能會造成拒絕服務。(CVE-2016-7046) * jboss init 指令碼不安全的檔案處理作業導致本機權限提升。(CVE-2016-8656) * 透過 ObjectMapper 的 readValue 方法導致的還原序列化弱點可允許任意程式碼執行。(CVE-2017-7525) * JMSObjectMessage 將可能的惡意物件還原序列化，允許了遠端程式碼執行。(CVE-2016-4978) * Undertow 容易遭到任意 HTTP 標頭插入，以及回應分割。(CVE-2016-4993) * 網域控制站將不會將其系統管理 RBAC 組態散佈至某些從屬，進而導致其權限提升。(CVE-2016-5406) * 若未設定要求標頭 Host 欄位，內部 IP 位址會在重新導向上洩露。(CVE-2016-6311) * 可能透過對伺服器記錄檔的 GET 要求發動 EAP 資源耗盡 DOS 攻擊。(CVE-2016-8627) * 不充分的標頭快取可能造成拒絕服務。(CVE-2016-9589) * 記錄檔檢視器允許經驗證使用者透過路徑遊走讀取任意檔案。(CVE-2017-2595) * HTTP 要求走私弱點，這是因為在 HTTP 要求中允許無效字元所致。(CVE-2017-2666) * Websocket 不乾淨的關閉可造成 IO 執行緒陷入迴圈。(CVE-2017-2670) * 將安全管理員的反射權限授予 Hibernate Validator 時，會發生權限提升問題。(CVE-2017-7536) * Undertow 剖析具有異常空格的 http 標頭時，可能發生 http 要求走私問題。(CVE-2017-7559) * 管理和應用程式領域的屬性型檔案為全域可讀取，允許存取登入至系統的所有使用者的使用者和角色資訊。(CVE-2017-12167) * RBAC 組態允許具有 Monitor 角色的使用者檢視敏感資訊。(CVE-2016-7061) * 不正確的空格剖析會導致可能的 HTTP 要求走私問題。(CVE-2017-12165) Red Hat 感謝 Liao Xinxi (NSFOCUS) 報告 CVE-2017-7525；感謝 Calum Hutton (NCC Group) 和 Mikhail Egorov (Odin) 報告 CVE-2016-4993；感謝 Luca Bueti 報告 CVE-2016-6311；感謝 Gabriel Lavoie (Halogen Software) 報告 CVE-2016-9589；及感謝 Gregory Ramsperger 和 Ryan Moak 報告 CVE-2017-2670。CVE-2016-5406 問題是由 Tomaz Cerar (Red Hat) 所發現；CVE-2016-8627 問題是由 Darran Lofthouse (Red Hat) 和 Brian Stansberry (Red Hat) 所發現；CVE-2017-2666 問題是由 Radim Hatlapatka (Red Hat) 所發現；CVE-2017-7536 問題是由 Gunnar Morling (Red Hat) 所發現；CVE-2017-7559 和 CVE-2017-12165 問題是由 Stuart Douglas (Red Hat) 所發現；以及 CVE-2017-12167 問題是由 Brian Stansberry (Red Hat) 和 Jeremy Choi (Red Hat) 所發現。上游確認 WildFly 是 CVE-2016-6311 的原始報告者。

遠端 Redhat Enterprise Linux 6/7 主機上安裝的套件受到 RHSA-2017:1412 公告中提及的多個弱點影響。

    * eap7-jboss-ec2-eap 套件提供適用於 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上執行之 Red Hat JBoss Enterprise Application Platform 的指令碼。

    此更新已更新 eap7-jboss-ec2-eap 套件，確保與 Red Hat JBoss Enterprise Application Platform 7.0.6 的相容性。

    如需此本版本中包含的最重要錯誤修正和增強功能的詳細資訊，請參閱〈參照〉一節連結的 JBoss Enterprise Application Platform 7.0.6 版本資訊。

    安全性修正:

    * 據發現，在某些情況下，RESTEasy 可能會被迫以 YamlProvider 剖析要求，進而導致可能不受信任的資料遭到解除封送。遠端攻擊者可利用此缺陷，透過使用 RESTEasy 程式庫的應用程式權限執行任意程式碼。(CVE-2016-9606)

    * 據發現Red Hat JBoss Enterprise Application 6 和 7 中的記錄檔檢視器允許經驗證的使用者透過路徑遊走讀取任意檔案。 (CVE-2017-2595)

    * 據發現，剖析 HTTP 要求行的程式碼允許無效的字元。可利用此缺陷搭配也允許無效字元但解譯不同的 proxy，將資料插入 HTTP 回應。攻擊者可藉由操控 HTTP 回應來破壞網路快取、執行 XSS 攻擊或從非自發要求取得敏感資訊。 (CVE-2017-2666)

    * 據發現不干淨的 TCP 關閉、Websocket 伺服器在每個 IO 執行緒發生無限迴圈皆能有效造成 DoS。 (CVE-2017-2670)

    Red Hat 感謝 Moritz Bechler (AgNO3 GmbH & Co. KG) 報告 CVE-2016-9606 以及 Gregory Ramsperger 和 Ryan Moak 報告 CVE-2017-2670。CVE-2017-2666 問題是由 Radim Hatlapatka (Red Hat) 所發現。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2017:1411 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.0.6 版本是 Red Hat JBoss Enterprise Application Platform 7.0.5 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。

    安全性修正：

    * 據發現，在某些情況下，RESTEasy 可能會被迫以 YamlProvider 剖析要求，進而導致可能不受信任的資料遭到解除封送。遠端攻擊者可利用此缺陷，透過使用 RESTEasy 程式庫的應用程式權限執行任意程式碼。(CVE-2016-9606)

    * 據發現Red Hat JBoss Enterprise Application 6 和 7 中的記錄檔檢視器允許經驗證的使用者透過路徑遊走讀取任意檔案。 (CVE-2017-2595)

    * 據發現，剖析 HTTP 要求行的程式碼允許無效的字元。可利用此缺陷搭配也允許無效字元但解譯不同的 proxy，將資料插入 HTTP 回應。攻擊者可藉由操控 HTTP 回應來破壞網路快取、執行 XSS 攻擊或從非自發要求取得敏感資訊。 (CVE-2017-2666)

    * 據發現不干淨的 TCP 關閉、Websocket 伺服器在每個 IO 執行緒發生無限迴圈皆能有效造成 DoS。 (CVE-2017-2670)

    Red Hat 感謝 Moritz Bechler (AgNO3 GmbH & Co. KG) 報告 CVE-2016-9606 以及 Gregory Ramsperger 和 Ryan Moak 報告 CVE-2017-2670。CVE-2017-2666 問題是由 Radim Hatlapatka (Red Hat) 所發現。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2017:1410 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.0.6 版本是 Red Hat JBoss Enterprise Application Platform 7.0.5 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。

    安全性修正：

    * 據發現，在某些情況下，RESTEasy 可能會被迫以 YamlProvider 剖析要求，進而導致可能不受信任的資料遭到解除封送。遠端攻擊者可利用此缺陷，透過使用 RESTEasy 程式庫的應用程式權限執行任意程式碼。(CVE-2016-9606)

    * 據發現Red Hat JBoss Enterprise Application 6 和 7 中的記錄檔檢視器允許經驗證的使用者透過路徑遊走讀取任意檔案。 (CVE-2017-2595)

    * 據發現，剖析 HTTP 要求行的程式碼允許無效的字元。可利用此缺陷搭配也允許無效字元但解譯不同的 proxy，將資料插入 HTTP 回應。攻擊者可藉由操控 HTTP 回應來破壞網路快取、執行 XSS 攻擊或從非自發要求取得敏感資訊。 (CVE-2017-2666)

    * 據發現不干淨的 TCP 關閉、Websocket 伺服器在每個 IO 執行緒發生無限迴圈皆能有效造成 DoS。 (CVE-2017-2670)

    Red Hat 感謝 Moritz Bechler (AgNO3 GmbH & Co. KG) 報告 CVE-2016-9606 以及 Gregory Ramsperger 和 Ryan Moak 報告 CVE-2017-2670。CVE-2017-2666 問題是由 Radim Hatlapatka (Red Hat) 所發現。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在以 Java 撰寫的網頁伺服器 Undertow 中發現兩個弱點，可能會導致拒絕服務或 HTTP 要求走私攻擊。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2017:3454 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 是一個以 JBoss Application Server 為基礎，並提供給 Java 應用程式使用的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.1.0 版本是 Red Hat JBoss Enterprise Application Platform 7.0.0 的替代版本，其中包含數個錯誤修正和增強功能，詳情請參閱〈參照〉中的「版本資訊」連結。

    安全性修正：

    * 將長要求傳送至 EAP 7 時可造成拒絕服務。(CVE-2016-7046)

    * jboss init 指令碼不安全的檔案處理方式導致本機權限提升。 (CVE-2016-8656)

    * 透過 ObjectMapper 的 readValue 方法造成的還原序列化弱點可允許任意程式碼執行。 (CVE-2017-7525)

    * JMSObjectMessage 將可能的惡意物件還原序列化，允許了遠端程式碼執行。
    (CVE-2016-4978)

    * Undertow 容易遭到任意 HTTP 標頭插入，以及回應分割。
    (CVE-2016-4993)

    * 網域控制站將不會將其管理 RBAC 組態散佈至某些從屬進而導致其權限提升。 (CVE-2016-5406)

    * 若未設定要求標頭 Host 欄位內部 IP 位址會在重新導向上洩漏。 (CVE-2016-6311)

    * 可能透過對伺服器記錄檔的 GET 要求發動 EAP 資源耗盡 DOS 攻擊。 (CVE-2016-8627)

    * 低效的標頭快取可造成拒絕服務。 (CVE-2016-9589)

    * 記錄檔檢視器允許經驗證的使用者透過路徑遊走讀取任意檔案。 (CVE-2017-2595)

    * HTTP 要求走私弱點，這是因為在 HTTP 要求中允許無效字元所致。
    (CVE-2017-2666)

    * Websocket 不干淨的關閉可造成 IO 執行緒在迴圈中停滯。 (CVE-2017-2670)

    * 將安全管理員的反射權限授予 Hibernate Validator 時，會發生特權提升問題。
    (CVE-2017-7536)

    * Undertow 剖析具有異常空格的 http 標頭時，可能發生 http 要求走私問題。
    (CVE-2017-7559)

    * 管理和應用程式領域的屬性型檔案為全域可讀取允許存取登入至系統的所有使用者的使用者和角色資訊。 (CVE-2017-12167)

    * RBAC 組態允許具有 Monitor 角色的使用者檢視敏感資訊。 (CVE-2016-7061)

    * 不正確的空格剖析會導致可能的 HTTP 要求走私問題。 (CVE-2017-12165)

    Red Hat 感謝 Liao Xinxi (NSFOCUS) 報告 CVE-2017-7525；感謝 Calum Hutton (NCC Group) 和 Mikhail Egorov (Odin) 報告 CVE-2016-4993；感謝 Luca Bueti 報告 CVE-2016-6311；感謝 Gabriel Lavoie (Halogen Software) 報告 CVE-2016-9589；及感謝 Gregory Ramsperger 和 Ryan Moak 報告 CVE-2017-2670。CVE-2016-5406 問題是由 Tomaz Cerar (Red Hat) 所發現；CVE-2016-8627 問題是由 Darran Lofthouse (Red Hat) 和 Brian Stansberry (Red Hat) 所發現；CVE-2017-2666 問題是由 Radim Hatlapatka (Red Hat) 所發現；CVE-2017-7536 問題是由 Gunnar Morling (Red Hat) 所發現；CVE-2017-7559 和 CVE-2017-12165 問題是由 Stuart Douglas (Red Hat) 所發現；以及 CVE-2017-12167 問題是由 Brian Stansberry (Red Hat) 和 Jeremy Choi (Red Hat) 所發現。上游確認 WildFly 是 CVE-2016-6311 的原始報告者。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 7.1 和 Red Hat Enterprise Linux 7 的 Red Hat JBoss Enterprise Application Platform 7.1 的 eap7-jboss-ec2-eap 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。* eap7-jboss-ec2-eap 套件提供適用於 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上執行之 Red Hat JBoss Enterprise Application Platform 的指令碼。此更新已更新 eap7-jboss-ec2-eap 套件，確保與 Red Hat JBoss Enterprise Application Platform 7.1 的相容性。如需此本版本中包含的最重要錯誤修正和增強功能的詳細資訊，請參閱〈參照〉一節連結的 JBoss Enterprise Application Platform 7.1 版本資訊。安全性修正：* 將長要求傳送至 EAP 7 時，可能會造成拒絕服務。(CVE-2016-7046) * jboss init 指令碼不安全的檔案處理作業導致本機權限提升。(CVE-2016-8656) * 透過 ObjectMapper 的 readValue 方法導致的還原序列化弱點可允許任意程式碼執行。(CVE-2017-7525) * JMSObjectMessage 將可能的惡意物件還原序列化，允許了遠端程式碼執行。(CVE-2016-4978) * Undertow 容易遭到任意 HTTP 標頭插入，以及回應分割。(CVE-2016-4993) * 網域控制站將不會將其系統管理 RBAC 組態散佈至某些從屬，進而導致其權限提升。(CVE-2016-5406) * 若未設定要求標頭 Host 欄位，內部 IP 位址會在重新導向上洩露。(CVE-2016-6311) * 可能透過對伺服器記錄檔的 GET 要求發動 EAP 資源耗盡 DOS 攻擊。(CVE-2016-8627) * 不充分的標頭快取可能造成拒絕服務。(CVE-2016-9589) * 記錄檔檢視器允許經驗證使用者透過路徑遊走讀取任意檔案。(CVE-2017-2595) * HTTP 要求走私弱點，這是因為在 HTTP 要求中允許無效字元所致。(CVE-2017-2666) * Websocket 不乾淨的關閉可造成 IO 執行緒陷入迴圈。(CVE-2017-2670) * 將安全管理員的反射權限授予 Hibernate Validator 時，會發生權限提升問題。(CVE-2017-7536) * Undertow 剖析具有異常空格的 http 標頭時，可能發生 http 要求走私問題。(CVE-2017-7559) * 管理和應用程式領域的屬性型檔案為全域可讀取，允許存取登入至系統的所有使用者的使用者和角色資訊。(CVE-2017-12167) * RBAC 組態允許具有 Monitor 角色的使用者檢視敏感資訊。(CVE-2016-7061) * 不正確的空格剖析會導致可能的 HTTP 要求走私問題。(CVE-2017-12165) Red Hat 感謝 Liao Xinxi (NSFOCUS) 報告 CVE-2017-7525；感謝 Calum Hutton (NCC Group) 和 Mikhail Egorov (Odin) 報告 CVE-2016-4993；感謝 Luca Bueti 報告 CVE-2016-6311；感謝 Gabriel Lavoie (Halogen Software) 報告 CVE-2016-9589；及感謝 Gregory Ramsperger 和 Ryan Moak 報告 CVE-2017-2670。CVE-2016-5406 問題是由 Tomaz Cerar (Red Hat) 所發現；CVE-2016-8627 問題是由 Darran Lofthouse (Red Hat) 和 Brian Stansberry (Red Hat) 所發現；CVE-2017-2666 問題是由 Radim Hatlapatka (Red Hat) 所發現；CVE-2017-7536 問題是由 Gunnar Morling (Red Hat) 所發現；CVE-2017-7559 和 CVE-2017-12165 問題是由 Stuart Douglas (Red Hat) 所發現；以及 CVE-2017-12167 問題是由 Brian Stansberry (Red Hat) 和 Jeremy Choi (Red Hat) 所發現。上游確認 WildFly 是 CVE-2016-6311 的原始報告者。

ID	名稱	產品	系列	已發布	已更新	嚴重性
105269	RHEL 7：JBoss EAP (RHSA-2017:3455)	Nessus	Red Hat Local Security Checks	2017/12/15	2025/4/29	critical
112176	RHEL 6 / 7：eap7-jboss-ec2-eap (RHSA-2017:1412)	Nessus	Red Hat Local Security Checks	2018/8/29	2025/4/29	high
112259	RHEL 7Red Hat Enterprise Linux 7 上的 JBoss Enterprise Application Platform 7.0.6 (中等) (RHSA-2017:1411)	Nessus	Red Hat Local Security Checks	2018/9/4	2025/4/29	high
112258	RHEL 6 Red Hat Enterprise Linux 6 上的 JBoss Enterprise Application Platform 7.0.6 (中等) (RHSA-2017:1410)	Nessus	Red Hat Local Security Checks	2018/9/4	2025/4/29	high
101379	Debian DSA-3906-1：undertow - 安全性更新	Nessus	Debian Local Security Checks	2017/7/12	2021/1/4	high
105268	RHEL 6Red Hat JBoss Enterprise Application Platform 7.1.0 (RHSA-2017:3454)	Nessus	Red Hat Local Security Checks	2017/12/15	2025/4/29	critical
105252	RHEL 6 / 7：eap7-jboss-ec2-eap (RHSA-2017:3458)	Nessus	Red Hat Local Security Checks	2017/12/14	2025/4/29	critical

偵測

搜尋 Plugin

critical

high

high

high

high

critical

critical