远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2014:1019 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    在 mod_status httpd 模块中发现导致基于堆的缓冲区溢出的争用条件缺陷。能够使用线程化多重处理模块 (MPM) 访问服务器上由 mod_status 提供服务的状态页面的远程攻击者可以发送特别构建的请求，以导致 httpd 子进程崩溃，或者可能允许攻击者以 apache 用户的权限执行任意代码。(CVE-2014-0226)

    在 httpd 的 mod_deflate 模块处理请求正文解压缩（通过 DEFLATE 输入过滤器配置）的方式中发现拒绝服务缺陷。能够发送其正文需要解压缩的请求的远程攻击者可以利用此缺陷消耗目标系统上的大量系统内存和 CPU。(CVE-2014-0118)

    已发现 httpd 的 mod_cgid 模块执行未从标准输入读取数据的 CGI 脚本的方式中存在拒绝服务缺陷。
    远程攻击者可提交特别构建的请求，以导致 httpd 子进程无限期挂起。(CVE-2014-0231)

    在 WebSocket08FrameDecoder 实现中发现一个缺陷，远程攻击者可利用此缺陷通过发出一系列 TextWebSocketFrame 和 ContinuationWebSocketFrames 来触发内存不足异常。这可能导致拒绝服务，具体取决于服务器配置。
    (CVE-2014-0193)

    已发现 SimpleSecurityManager 的 isCallerInRole() 方法没有正确检查调用程序角色。经过认证的远程攻击者可利用此缺陷避开使用基于调用程序角色的黑名单访问控制的应用程序中的调用程序检查。(CVE-2014-3472)

    Red Hat 在此感谢 Typesafe 的 James Roper 报告 CVE-2014-0193；感谢 CA Technologies 报告 CVE-2014-3472。

    此版本的 JBoss Enterprise Application Platform 也包括缺陷补丁和增强功能。很快将可在“参考”部分链接的 JBoss Enterprise Application Platform 6.3.0 版本说明中查看这些更改的文档。

    对于所有需要 Red Hat Enterprise Linux 5 中的 JBoss Enterprise Application Platform 6.3.0 的用户，都应安装这些新程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 5：Red Hat JBoss Enterprise Application Platform 6.3.0 更新（重要）(RHSA-2014:1019)

medium Nessus 插件 ID 77078

未找到依赖项