更新现在可用于 Red Hat Enterprise Linux 7.0 的 Red Hat JBoss Enterprise Application Platform 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。此 Red Hat JBoss Enterprise Application Platform 7.0.8 版本可替换 Red Hat JBoss Enterprise Application Platform 7.0.7，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* 已发现当使用 log4j 套接字服务器进行远程日志记录时，log4j 服务器会反序列化所有通过 TCP 或 UDP 接收的日志事件。攻击者可利用此缺陷在反序列过程中发送特制的日志事件，其可在日志记录器应用程序环境中执行任意代码。(CVE-2017-5645) * 在 Jasypt 中发现一个漏洞，允许攻击者对密码哈希比较发动计时攻击。(CVE-2014-9970) * 据发现，Bouncy Castle 中的信息泄露缺陷可启用本地恶意应用程序，以获取对用户私密信息的访问权限。(CVE-2015-6644) * 已发现在解析 SAML 消息时，Picketlink 的 StaxParserUtil 类用系统属性替换用于获取属性值的特殊字符串。这允许攻击者通过将 SAML 请求 ID 字段格式化为可在响应中的 ‘InResponseTo’ 字段获得的所选系统属性，来确定被攻击系统的系统属性值。(CVE-2017-2582) * 据发现，将可供访问类别内私密成员的安全管理员反射权限授予 Hibernate Validator 时，可能会发生权限提升问题。通过允许调用代码在无权限的情况下访问这些私密成员，攻击者可能验证无效实例，并通过 ConstraintViolation#getInvalidValue() 访问私密成员值。(CVE-2017-7536) CVE-2017-2582 问题由 Hynek Mlnarik (Red Hat) 发现，CVE-2017-7536 问题由 Gunnar Morling (Red Hat) 发现。

检测

RHEL 7：JBoss EAP (RHSA-2017:2808)

critical Nessus 插件 ID 103526

版本 3.11