更新后的 JBoss Enterprise Application Platform 5.1.2 程序包修复了两个安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是一款适用于 Java 应用程序的平台，其将 JBoss Application Server 与 JBoss Hibernate 和 JBoss Seam 相集成。OpenID4Java 允许您在 Java 应用程序中实现 OpenID 认证。OpenID4Java 为技术预览。

适用于 Red Hat Enterprise Linux 4 的此版 JBoss Enterprise Application Platform 5.1.2 可替代 JBoss Enterprise Application Platform 5.1.1。

这些更新后的程序包中包含缺陷补丁和增强。有关这些最重要的变更的信息，请参阅 JBoss Enterprise Application Platform 5.1.2 发行说明。很快便可通过以下链接获得发行说明：https://docs.redhat.com/docs/en-US/index.html

此版本还修复了以下安全问题：

已发现默认通过 httpha-invoker 部署的调用程序 servlet 仅对 HTTP GET 和 POST 方法执行访问控制，从而允许远程攻击者使用不同 HTTP 方法发起未经认证的请求。由于安全拦截器提供的双重认证，默认安装时不可利用此问题，除非管理员错误配置安全拦截器或将其禁用。(CVE-2011-4085)

已发现未检查 OpenID4Java 的属性交换 (AX) 扩展，以确保属性已签名。如果 AX 用于接收应用程序仅信任身份提供程序所断言的信息，远程攻击者可利用此缺陷通过特别构建的请求执行中间人攻击并破坏信息的完整性。默认情况下，仅 JBoss Seam openid 示例应用程序使用 OpenID4Java。
(CVE-2011-4314)

警告：应用此更新之前，请备份 JBoss Enterprise Application Platform 的“jboss-as/server/[PROFILE]/deploy/”目录及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 4 中的所有 JBoss Enterprise Application Platform 5.1.1 用户升级这些更新后的程序包。
必须重新启动 JBoss 服务器进程才能使更新生效。

检测

RHEL 4：JBoss EAP (RHSA-2011:1800)

medium Nessus 插件 ID 64013

未找到变更日志