远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:0834 公告中提及的多个漏洞影响。

    JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    此版本可替换 JBoss Enterprise Application Platform 6.0.1，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.1.0 发行说明，具体内容短期内将于 https://access.redhat.com/site/documentation/ 中提供

    安全修复：

    发现各种框架（包括 Apache CXF）中均存在 XML 加密向后兼容性攻击。攻击者可强制服务器使用不安全的旧版密码系统，即使当端点启用安全加密系统时。通过强制使用旧版加密系统，将暴露 CVE-2011-1096 和 CVE-2011-2487 等缺陷，并允许纯文本通过密文和对称密钥恢复。(CVE-2012-5575)

    注意：仅当 WS-SecurityPolicy 用于执行安全要求时，才运行可防止 CVE-2012-5575 的自动检查。使用 WS-SecurityPolicy 执行安全要求为最佳做法。

    当 JBoss Web 上运行的应用程序使用 COOKIE 会话跟踪方法时，org.apache.catalina.connector.Response.encodeURL() 方法将在处理第一个会话请求时返回 URL（包含附加为查询字符串参数的 jsessionid）。攻击者可能利用此缺陷，通过执行中间人攻击来获取用户的 jsessionid 并点击劫持其会话，或者从日志文件中提取 jsessionid。请注意，默认未使用任何会话跟踪方法，必须配置一种方法。(CVE-2012-4529)

    如果多个应用程序采用同一自定义授权模块类名称，并提供其自有实现，被加载的第一个应用程序会将其实现用于使用同一自定义授权模块类名称的所有其他应用程序。本地攻击者可利用此缺陷部署恶意应用程序，从而提供自定义授权模块实现，并根据攻击者提供的规则允许或禁止用户访问。(CVE-2012-4572)

    Red Hat 在此感谢 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 报告 CVE-2012-5575。
    CVE-2012-4572 由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现。

    警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。
    有关更多详细信息，请参阅“解决方案”部分。

    建议 Red Hat Enterprise Linux 6 中的所有 JBoss Enterprise Application Platform 6.0.1 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6：JBoss Enterprise Application Platform 6.1.0 更新（重要）(RHSA-2013:0834)

medium Nessus 插件 ID 66522

未找到依赖项