远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 2060 公告中提及的多个漏洞的影响。

  - jackson-mapper-asl：XML 外部实体类似于 CVE-2016-3720 (CVE-2019-10172)

  - cxf：OpenId Connect 令牌服务未正确验证 clientId (CVE-2019-12423)

  - cxf：服务清单页面存在反射型 XSS (CVE-2019-17573)

  - undertow：可通过 Expect: 100-continue 标头在 HttpReadListener 中造成内存耗尽问题 (CVE-2020-10705)

  - undertow：具有大区块大小的无效 HTTP 请求 (CVE-2020-10719)

  - wildfly：使用其他安全域调用另一个 EJB 之后，EJBContext 主体未能弹出 (CVE-2020-1719)

  - SmallRye：SecuritySupport 类遭错误公开，且包含用于访问当前线程环境类加载器的静态方法 (CVE-2020-1729)

  - Soteria：不同并发线程中的安全身份损坏 (CVE-2020-1732)

  - undertow：AJP 文件读取/注入漏洞 (CVE-2020-1745)

  - undertow：servletPath 未经正确标准化，因此会造成危险的应用程序映射，这可能会导致安全绕过 (CVE-2020-1757)

  - cryptacular：解码时发生内存分配过度 (CVE-2020-7226)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 8：RHEL 8 上的 Red Hat JBoss Enterprise Application Platform 7.2.8 (RHSA-2020: 2060)

critical Nessus 插件 ID 136495

版本 1.10