远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2011:1803 公告中提及的漏洞影响。

    Enterprise Web Platform 是 JBoss Enterprise Application Platform 的精简配置文件，适用于具有轻型、富 Java 应用程序的中型工作负载。OpenID4Java 允许您在 Java 应用程序中实现 OpenID 认证。OpenID4Java 为技术预览。

    适用于 Red Hat Enterprise Linux 5 的此版 JBoss Enterprise Web Platform 5.1.2 可替代 JBoss Enterprise Web Platform 5.1.1。

    这些更新后的程序包中包含缺陷补丁和增强。JBoss Enterprise Web Platform 是 JBoss Enterprise Application Platform 的子集。有关这些最重要的变更的信息，用户可参阅 JBoss Enterprise Application Platform 5.1.2 发行说明。很快将可通过 https://docs.redhat.com/docs/en-US/index.html 获得发行说明

    此版本还修复了以下安全问题：

    已发现未检查 OpenID4Java 的属性交换 (AX) 扩展，以确保属性已签名。如果 AX 用于接收应用程序仅信任身份提供程序所断言的信息，远程攻击者可利用此缺陷通过特别构建的请求执行中间人攻击并破坏信息的完整性。默认情况下，仅 JBoss Seam openid 示例应用程序使用 OpenID4Java。(CVE-2011-4314)

    警告：应用此更新之前，请备份 JBoss Enterprise Web Platform 的 jboss-as-web/server/[PROFILE]/deploy/ 目录及任何其他自定义配置文件。

    建议 Red Hat Enterprise Linux 5 上 JBoss Enterprise Web Platform 5.1.1 的所有用户都升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 5：JBoss Enterprise Web Platform 5.1.2 更新（低危）(RHSA-2011:1803)

medium Nessus 插件 ID 210143

版本 1.1