用于 JBoss Enterprise Application Platform 5.2.0 的更新后的 apache-cxf 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 4、5 和 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是一款适用于 Java 应用程序的平台，其将 JBoss Application Server 与 JBoss Hibernate 和 JBoss Seam 相集成。

如果 Web 服务是使用 Apache CXF 部署的，并且启用了 WSS4JInInterceptor 以应用 WS-Security 处理，则无需应用认证检查，将始终向针对这些服务的 HTTP GET 请求授予访问权限。URIMappingInterceptor 是一种旧机制，允许对简单 SOAP 服务进行类 REST 的访问（通过 GET 请求）。远程攻击者可利用此缺陷，使用 GET 请求访问简单 SOAP 服务的类 REST 接口，从而绕过 WSS4JInInterceptor 应用的安全限制。此缺陷仅当 WSS4JInInterceptor 用于应用 WS-Security 处理时才可利用。使用 WS-SecurityPolicy 应用安全性的服务不受影响。(CVE-2012-5633)

已发现在某些情况下 Apache CXF 容易遭受 SOAPAction 欺骗攻击。如果通过为每个服务操作使用唯一 SOAPAction 的 Apache CXF 暴露 Web 服务，则远程攻击者可执行 SOAPAction 欺骗，在已禁止的操作接受与允许的操作相同的参数的情况下调用该已禁止操作。需对被调用的操作执行 WS 策略验证，攻击必须通过验证才能成功。
(CVE-2012-3451)

请注意，CVE-2012-3451 和 CVE-2012-5633 问题仅影响安装有 JBoss Web Services CXF 的环境。

Red Hat 在此感谢 Apache CXF 项目报告 CVE-2012-3451。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序（包括所有应用程序和配置文件）。

建议 Red Hat Enterprise Linux 4、5 和 6 中的所有 JBoss Enterprise Application Platform 5.2.0 用户升级到此更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

检测

RHEL 4 / 5 / 6：JBoss EAP (RHSA-2013:0257)

medium Nessus 插件 ID 64628

未找到变更日志