遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2025:1747 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 7 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 7.3.12 是 Red Hat JBoss Enterprise Application Platform 7.3.11 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.3.12 版本資訊。

    安全性修正：

    * velocity：攻擊者能夠修改範本時便可執行任意程式碼 [eap-7.3.z] (CVE-2020-13936)

    * CXF：Apache CXF：目錄清單/程式碼洩漏 [eap-7.3.z] (CVE-2022-46363)

    * sshd-common：mina-sshd：Java 不安全的還原序列化弱點 [eap-7.3.z] (CVE-2022-45047)

    * log4j-core：當記錄包含受攻擊者控制的字串值時，Log4j 2.x 中會產生遠端程式碼執行弱點 [eap-7.3.z] (CVE-2021-44228)

    * commons-text：apache-commons-text：變數內插 RCE [eap-7.3.z] (CVE-2022-42889)

    * log4j-core：具有執行緒內容訊息模式和內容查閱模式的 log4j 2.x 中的 DoS 弱點 (CVE-2021-44228 的不完整修正) [eap-7.3.z] (CVE-2021-45046)

    * org.jboss.hal-hal-parent：minimist：原型污染 [eap-7.3.z] (CVE-2021-44906)

    * jackson-databind：使用深層巢狀陣列 [eap-7.3.z] (CVE-2022-42004)

    * snakeyaml：建構函式還原序列化遠端程式碼執行弱點 [eap-7.3.z] (CVE-2022-1471)

    * codec-haproxy：HAProxyMessageDecoder 堆疊耗盡導致的 DoS [eap-7.3.z] (CVE-2022-41881)

    * jackson-databind：深層包裝函式陣列巢狀 wrt UNWRAP_SINGLE_VALUE_ARRAYS [eap-7.3.z] (CVE-2022-42003)

    * jettison：如果 map 中的值是 map 本身，則新的 JSONObject(map) 會造成 StackOverflowError，進而可能導致拒絕服務 [eap-7.3.z] (CVE-2022-45693)

    * h2：主控台中存在遠端程式碼執行弱點 [eap-7.3.z] (CVE-2021-42392)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 7：Red Hat JBoss Enterprise Application Platform 7.3.12 (RHSA-2025:1747)

high Nessus Plugin ID 216679

版本 1.1