远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:1906 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    已发现向 Web 控制台发送包含大标头的请求时，会在 HTTP 管理接口中产生 Java OutOfMemoryError。
    攻击者可利用此缺陷造成拒绝服务。
    (CVE-2015-5220)

    已发现可以在 IFRAME 中打开 EAP 管理控制台，通过这一点可以拦截并操纵请求。
    攻击者可以利用此缺陷诱骗用户在控制台中执行任意操作（点击劫持）。(CVE-2015-5178)

    注意：要解决此问题，需要对控制台中发送 http 请求的方式进行更改；此更改可能会影响用户。有关此更改的详细信息，请参阅链接到“参考”部分的版本说明。

    已发现使用 multipart/form-data 提交向 EAP Web 控制台上传文件时，控制台易受跨站请求伪造 (CSRF) 的攻击。这意味着攻击者可以利用此缺陷，配合伪造攻击，对认证的实例进行更改。(CVE-2015-5188)

    The CVE-2015-5220 问题是 Red Hat GSS 中间件团队的 Aaron Ogburn 发现的，CVE-2015-5188 问题是 Red Hat 中间件工程团队的 Jason Greene 发现的。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.4.3，并包含缺陷补丁和多项增强。
    可从“参考”部分中的链接获取这些更改的相关文档。

    建议 Red Hat Enterprise Linux 7 上的所有 Red Hat JBoss Enterprise Application Platform 6.4 用户都升级到这些更新后的程序包。
    必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 7：Red Hat JBoss Enterprise Application Platform 6.4.4 更新（重要）(RHSA-2015:1906)

critical Nessus 插件 ID 112241

未找到依赖项