远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024: 0711 公告中提及的一个漏洞的影响。

  - 在 2.2.6、2.3.4 和 3.0.3 之前的所有 Apache Santuario - XML Security for Java 版本中使用 JSR 105 API 时，这些版本容易受到一个问题影响，即在生成 XML 签名并在调试级别启用日志记录时，日志文件中的私钥遭泄露。建议用户升级到修复了此问题的版本 2.2.6、2.3.4 或 3.0.3。(CVE-2023-44483)

  - Eclipse JGit 6.6.0 及之前版本中存在任意文件覆盖漏洞。在 Eclipse JGit 6.6.0.202305301015-r 及之前的所有版本中，可以使用特别构建的 git 存储库中存在的符号链接，将文件写入工作树以外的位置，前提是使用 JGit 将该存储库克隆到不区分大小写的文件系统中，或在不区分大小写的文件系统上对此类存储库的克隆版本执行检出操作。在执行检出 (DirCacheCheckout)、合并（ResolveMerger，通过其 WorkingTreeUpdater）、提取（使用合并的 PullCommand）操作，以及应用补丁 (PatchApplier) 时，就会发生这种情况。此漏洞可被利用来执行远程代码 (RCE)，例如在工作树之外写入的文件是在后续 git 命令中执行的 git 过滤器时。此问题只会在不区分大小写的文件系统上出现，例如 Windows 和 macOS 上的默认文件系统。执行克隆或检出操作的用户必须有权创建符号链接才会发生此问题，并且必须在 git 配置中启用符号链接。
    在检出前设置 git 配置选项 core.symlinks = false 可避免该问题。此问题已在 Eclipse JGit 版本 6.6.1.202309021850-r 和 6.7.0.202309050840-r 中修复，可通过 Maven Central https://repo1.maven.org/maven2/org/eclipse/jgit/ 和 repo.eclipse.org https://repo.eclipse.org/content/repositories/jgit-releases/ 获取。自 5.13.3.202401111512-r 起的 5.13.3 中提供了向后移植。JGit 维护人员感谢 RyotaK 发现并报告此问题。(CVE-2023-4759)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 8：Red Hat JBoss Enterprise Application Platform 7.4.15 安全更新（中等）(RHSA-2024: 0711)

high Nessus 插件 ID 190092

版本 1.1