远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2023: 0552 公告中提及的多个漏洞的影响。

  - jquery：通过跨域 ajax 请求的跨站脚本 (CVE-2015-9251)

  - bootstrap：data-target 属性的 XSS (CVE-2016-10735)

  - nodejs-moment: 正则表达式拒绝服务 (CVE-2017-18214)

  - bootstrap：重叠数据父级属性中的跨站脚本 (XSS) (CVE-2018-14040)

  - bootstrap：scrollspy 的 data-target 属性中的跨站脚本 (XSS) (CVE-2018-14041)

  - bootstrap：工具提示的 data-container 属性中的跨站脚本 (XSS) (CVE-2018-14042)

  - jquery：对象原型中存在原型污染，导致拒绝服务、远程代码执行或属性注入 (CVE-2019-11358)

  - bootstrap：工具提示或弹出框 data-template 属性的 XSS (CVE-2019-8331)

  - jquery：存在跨站脚本，这是 injQuery.htmlPrefilter 方法不当所致 (CVE-2020-11022)

  - jquery：通过传递给 DOM 操纵方法的 HTML 中的 <option> 标签执行不受信任的代码 (CVE-2020-11023)

  - wildfly-elytron：可能通过使用不安全的比较器进行时序攻击 (CVE-2022-3143)

  - jettison: 由堆栈溢出导致的解析器崩溃 (CVE-2022-40149)

  - jettison: 通过用户提供的 XML 或 JSON 数据耗尽内存 (CVE-2022-40150)

  - Woodstox-core：用于序列化 XML 数据的 Woodstox 容易受到拒绝服务攻击 (CVE-2022-40152)

  - jackson-databind：深层封装数组嵌套 wrt UNWRAP_SINGLE_VALUE_ARRAYS (CVE-2022-42003)

  - jackson-databind：深度嵌套数组的使用 (CVE-2022-42004)

  - mina-sshd：Java 不安全反序列化漏洞 (CVE-2022-45047)

  - jettison: 如果 map 中的值是 map 自身，则新的 new JSONObject(map) 会造成 StackOverflowError，进而导致 dos (CVE-2022-45693)

  - Apache CXF：SSRF 漏洞 (CVE-2022-46364)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 7：Red Hat JBoss Enterprise Application Platform 7.4.9 安全更新（重要）(RHSA-2023: 0552)

critical Nessus 插件 ID 170909

版本 1.0