更新可用于 RHEL 7 的 JBoss Core Services。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Core Services 是 Red Hat JBoss 中间件产品的一套辅助软件。此软件，例如 Apache HTTP Server，对多个 JBoss 中间件产品通用，并在 Red Hat JBoss Core Services 下打包，以允许更快速的更新分发，并提供更一致的更新体验。此 Red Hat JBoss Core Services Apache HTTP Server 2.4.23 Service Pack 3 版本为 Red Hat JBoss Core Services Apache HTTP Server 2.4.23 Service Pack 2 版本的更新，并包含多项漏洞补丁，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* 在 apr_time_exp_get() 中发现越界数组取消引用缺陷。攻击者可未经验证滥用此函数，造成拒绝服务或可能的数据泄露。(CVE-2017-12613) * 已发现在身份验证阶段外使用 httpd's ap_get_basic_auth_pw() API 函数可导致身份验证绕过。若 httpd 使用的模块之一未正确调用 API，远程攻击者可利用此缺陷绕过必要的身份验证。(CVE-2017-3167) *在 httpd 的 mod_ssl 模块中发现空指针取消引用缺陷。若 httpd 使用的其他模块在处理 HTTPS 请求时调用某一 API 函数，远程攻击者可利用此缺陷造成 httpd 子进程崩溃。(CVE-2017-3169) * 在 httpd 的 mod_mime 模块中发现缓冲区读取越界缺陷。获准修改 httpd 的 MIME 配置的用户可利用此缺陷造成 httpd 子进程崩溃。(CVE-2017-7679) * httpd 处理无效和先前未注册的 HTTP 方法的方式中发现释放后重用缺陷，该方法由 .htaccess 文件中使用的 Limit 指令指定。远程攻击者可利用此缺陷公开部分服务器内存，或者导致 httpd 子进程崩溃。(CVE-2017-9798) Red Hat 在此感谢 Hanno Bock 报告 CVE-2017-9798。

检测

RHEL 7：Red Hat JBoss Core Services Apache HTTP Server 2.4.23 (RHSA-2017:3476) (Optionsbleed)

critical Nessus 插件 ID 105368

未找到依赖项