检测

RHEL 8：Red Hat JBoss Enterprise Application Platform 8.1.9 (RHSA-2026:92057)

high Nessus 插件 ID 373543

语言：

简介

远程 Red Hat 主机缺少 Red Hat JBoss Enterprise Application Platform 8.1.9 的一个或多个安全更新。

描述

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2026:92057 公告中提及的多个漏洞的影响。

 Red Hat JBoss Enterprise Application Platform 8 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 8.1.9 版本可替换 Red Hat JBoss Enterprise Application Platform 8.1.8，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 8.1.9 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

 安全修复：

 * netty-codec-http2：Netty：通过 CORS Vary 标头覆盖导致的信息泄露 [eap-8.1.z] （CVE-2026-59903）

 * netty-buffer： Netty：通过 CORS Vary 标头覆盖导致的信息泄露 [eap-8.1.z] （CVE-2026-59903）

 * cxf：Apache CXF：通过许多附件标头造成的拒绝服务 [eap-8.1.z] （CVE-2026-64958）

 * cxf：Apache CXF：通过构建的 OIDC 自我颁发的 ID 标记进行身份验证绕过 [eap-8.1.z] （CVE-2026-65583）

 * cxf-xjc-bug986：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-ws-security：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * jbossws-cxf-server：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-xjc-runtime：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * jbossws-cxf-resources：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-wsdl：Apache CXF：通过不受控制的表单参数造成拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-services-sts-core：Apache CXF：通过不受控制的表单参数造成拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-tools-java2ws：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-ws-policy：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * jbossws-cxf-client：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * ： cxf-tools-wsdlto-frontend-jaxwsApache CXF：通过不受控制的表单参数造成拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-tools-common：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-xjc-dv：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * ： cxf-services-ws-discovery-apiApache CXF：通过不受控制的表单参数造成拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-tools-wsdlto-core：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * jbossws-cxf-transports-undertow：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * ： cxf-tools-wsdlto-databinding-jaxbApache CXF：通过不受控制的表单参数造成拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-ws-rm： Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-xjc-boolean：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-tools-validator：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * jbossws-cxf-transports-udp：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * jbossws-cxf-factories：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-xjc-ts：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-bindings-coloc：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-features-clustering：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-transports-local：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * ： cxf-rt-transports-http-hcApache CXF：通过不受控制的表单参数造成拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-security：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-transports-jms：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-core：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-databinding-aegis：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-management：Apache CXF：通过不受控制的表单参数造成拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-features-throttling：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-features-logging：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-bindings-xml：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-security-saml：Apache CXF：通过不受控制的表单参数造成拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-services-sts-core：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * ： cxf-tools-wsdlto-frontend-jaxwsApache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * ： cxf-services-ws-discovery-apiApache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-tools-common：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * ： cxf-tools-wsdlto-databinding-jaxbApache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * jbossws-cxf-factories：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-xjc-runtime：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-tools-validator：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-xjc-dv：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-xjc-boolean：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-xjc-ts：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * jbossws-cxf-resources：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-xjc-bug986：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-tools-java2ws：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * jbossws-cxf-transports-udp：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * jbossws-cxf-client：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * jbossws-cxf-transports-undertow：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * jbossws-cxf-server：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-tools-wsdlto-core：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-bindings-coloc：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-security：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-databinding-aegis：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-ws-policy：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-features-logging：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-frontend-simple：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-ws-security：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-transports-jms：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * ： cxf-rt-transports-http-hcApache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-transports-local：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-bindings-xml：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-transports-http：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-ws-rm：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-frontend-jaxws：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-features-clustering：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-ws-mex：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-databinding-jaxb：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-bindings-soap：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-ws-addr：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-management：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-features-throttling：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-security-saml：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-core：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-wsdl：Apache CXF：通过 WSDL/XSD 导入解析造成的 XML 外部实体 （XXE） 漏洞 [eap-8.1.z] （CVE-2026-65432）

 * cxf-rt-frontend-simple：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 * cxf-rt-ws-addr：Apache CXF：通过不受控制的表单参数造成的拒绝服务 [eap-8.1.z] （CVE-2026-57819）

 有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

依据 RHSA-2026:92057 中的指南更新 RHEL Red Hat JBoss Enterprise Application Platform 8.1.9 程序包。

另见

https://access.redhat.com/articles/7137769

https://access.redhat.com/errata/RHSA-2026:92057

https://access.redhat.com/security/updates/classification/#important

https://bugzilla.redhat.com/show_bug.cgi?id=2511978

https://bugzilla.redhat.com/show_bug.cgi?id=2511979

https://bugzilla.redhat.com/show_bug.cgi?id=2511981

https://bugzilla.redhat.com/show_bug.cgi?id=2511995

https://bugzilla.redhat.com/show_bug.cgi?id=2517538

https://issues.redhat.com/browse/JBEAP-34959

https://issues.redhat.com/browse/JBEAP-35632

https://issues.redhat.com/browse/JBEAP-35651

https://issues.redhat.com/browse/JBEAP-35658

https://issues.redhat.com/browse/JBEAP-35795

http://www.nessus.org/u?29b6d808

http://www.nessus.org/u?4f7c1c91

http://www.nessus.org/u?c25bfcb7

插件详情

严重性: High

ID: 373543

文件名: redhat-RHSA-2026-92057.nasl

版本: 1.1

类型: Local

代理: unix

发布时间: 2026/10/29

最近更新时间: 2026/10/29

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.3

百分位: 53.54

Vendor

Vendor Severity: Important

CVSS v2

风险因素: High

基本分数: 7.8

时间分数: 5.8

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS 分数来源: CVE-2026-59903

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf-rt, p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf-services, p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf-tools, p-cpe:/a:redhat:enterprise_linux:eap8-apache-cxf, p-cpe:/a:redhat:enterprise_linux:eap8-apache-sshd, p-cpe:/a:redhat:enterprise_linux:eap8-netty-buffer, p-cpe:/a:redhat:enterprise_linux:eap8-netty-codec-dns, p-cpe:/a:redhat:enterprise_linux:eap8-netty-codec-http, p-cpe:/a:redhat:enterprise_linux:eap8-netty-codec-socks, p-cpe:/a:redhat:enterprise_linux:eap8-netty-codec, p-cpe:/a:redhat:enterprise_linux:eap8-netty-common, p-cpe:/a:redhat:enterprise_linux:eap8-netty-handler-proxy, p-cpe:/a:redhat:enterprise_linux:eap8-netty-handler, p-cpe:/a:redhat:enterprise_linux:eap8-netty-resolver-dns, p-cpe:/a:redhat:enterprise_linux:eap8-netty-resolver, p-cpe:/a:redhat:enterprise_linux:eap8-netty-transport-classes-epoll, p-cpe:/a:redhat:enterprise_linux:eap8-netty-transport-native-epoll, p-cpe:/a:redhat:enterprise_linux:eap8-netty-transport-native-unix-common, p-cpe:/a:redhat:enterprise_linux:eap8-netty-transport, p-cpe:/a:redhat:enterprise_linux:eap8-netty, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-atom-provider, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-cdi, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-client-api, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-client, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-core-spi, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-core, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-crypto, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-jackson2-provider, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-jaxb-provider, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-jsapi, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-json-binding-provider, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-json-p-provider, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-multipart-provider, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-rxjava2, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy-validator-provider, p-cpe:/a:redhat:enterprise_linux:eap8-resteasy

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

易利用性: No known exploits are available

补丁发布日期: 2026/10/28

漏洞发布日期: 2026/8/6

参考资料信息

CVE: CVE-2026-57819, CVE-2026-59903, CVE-2026-64958, CVE-2026-65432, CVE-2026-65583

CWE: 303, 444, 611, 770

RHSA: 2026:92057