远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2010:0379 公告中提及的多个漏洞影响。

    JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

    适用于 Red Hat Enterprise Linux 5 的此版本 JBEAP 可替代 JBEAP 4.3.0。CP07

    这些更新后的程序包包含多个缺陷补丁，其详细说明可从发行说明中找到。很快将可通过“参考”部分的链接获得发行说明。

    此版本还修复了以下安全问题：

    JMX 控制台配置仅为使用 GET 和 POST HTTP 动词的请求指定认证要求。远程攻击者可能创建未指定 GET 或 POST 的 HTTP 请求，导致在未经认证情况下由默认 GET 处理程序执行。此版本包含具有已更新配置的 JMX 控制台，不再指定 HTTP 动词。这意味着认证要求适用于所有请求。(CVE-2010-0738)

    对于 CVE-2010-0738 问题，如果立即升级不适用或者已自定义服务器部署，可应用手动修复。有关详细信息，请参阅“参考”中链接的 JBEAP 发行说明中的“此版本已修复问题”部分 (JBPAPP-3952) 的“安全”子部分。根据发行说明进行更改之前，请联系 Red Hat JBoss Support 获得建议。

    Red Hat 在此感谢 Minded Security 的 Stefano Di Paola 和 Giorgio Fedon 负责报告 CVE-2010-0738 问题。

    默认拦截对 JBoss Application Server Web 控制台 (/web-console) 的未经认证的访问。但是，已发现此拦截不完善，仅拦截了 GET 和 POST HTTP 动词。远程攻击者可利用此缺陷获得敏感信息的访问权限。此版本包含具有已更新配置的 Web 控制台，现在默认拦截所有未经认证的访问。(CVE-2010-1428)

    RHSA-2008:0828 更新修复了未经认证的用户可访问状态 servlet 的问题 (CVE-2008-3273)；但是，RHSA-2009:0349 更新中包含的一个缺陷补丁重新引入了该问题。远程攻击者可利用此缺陷获取有关部署的 Web 上下文的详细信息。(CVE-2010-1429)

    警告：应用此更新之前，请备份 JBEAP server/[configuration]/deploy/ 目录以及任何其他自定义配置文件。

    建议 Red Hat Enterprise Linux 5 上的所有 JBEAP 4.3 用户升级这些更新后的程序包。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 5：Red Hat JBoss Enterprise Application Platform 4.3.0.CP08 更新（重要）(RHSA-2010:0379)

high Nessus 插件 ID 63931

未找到依赖项