远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:1786 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    当本机库捆绑在 JAR 文件中，且没有指定自定义库路径时，HawtJNI 库类别将本机库写入 /tmp/ 中可预测的文件名。在 HawtJNI 编写这些本地库与它们执行的时窗期间，本地攻击者可使用恶意版本覆盖这些本地库。(CVE-2013-2035)

    在 EJB 调用处理程序实现执行 JAX-WS Service 端点的方法级授权的方式中发现一个缺陷。
    EJB 方法中声明的任何限制在执行 JAX-WS 处理程序时被忽略，而只应用类级限制。被授权访问 EJB 类的远程攻击者可调用他们未获调用授权的 JAX-WS 处理程序。(CVE-2013-2133)

    CVE-2013-2035 问题由 Red Hat 产品安全团队的 Florian Weimer 发现，CVE-2013-2133 问题由 Red Hat 的 Richard Opalka 和 Arun Neelicattu 发现。

    此版本可替换 JBoss Enterprise Application Platform 6.1.1，并包含缺陷补丁和多项增强。很快将可在“参考”部分链接的 JBoss Enterprise Application Platform 6.2.0 版本说明中查看这些更改的文档。

    建议 Red Hat Enterprise Linux 6 中的所有 JBoss Enterprise Application Platform 6.1.1 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6Red Hat JBoss Enterprise Application Platform 6.2.0 更新低危 (RHSA-2013:1786)

medium Nessus 插件 ID 71225

未找到变更日志