远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2015:0217 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    已发现 RESTEasy DocumentProvider 未正确设置 external-parameter-entities 和 external-general-entities 功能，因此允许外部实体扩展。能够向 RESTEasy 端点发送 XML 请求的远程攻击者可利用此缺陷读取运行应用程序服务器的用户可访问的文件，并可发动其他更高级的 XML 外部实体 (XXE) 攻击。
    (CVE-2014-7839)

    已发现基于角色的访问控制 (RBAC) 实现未充分验证维护人员角色执行某些管理操作时所需的全部授权条件。
    具有维护者角色的经身份验证的用户可利用此缺陷添加、修改或取消定义一组有限的属性及其值否则无法对其进行写入。 (CVE-2014-7849)

    已发现 JBoss 应用程序服务器 (WildFly) JacORB 子系统未针对 security-domain 属性正确分配 socket-binding-ref 灵敏度分类。对于具有 socket-binding-ref 灵敏度分类而没有 security-domain-ref 灵敏度分类的属性，若经认证的用户角色对该属性具有访问权限，则可使用此缺陷访问 security-domain 属性中存在的敏感信息。
    (CVE-2014-7853)

    已发现在处理未定义的安全域时，org.jboss.security.plugins.mapping.JBossMappingManager 实现会后退到默认安全域（如果可用）。如果用户具备定义的默认域中的有效凭据，同时具备在预期应用程序域中有效的角色，则可执行他们原本无法执行的操作。使用 SAML2 STS 登录模块时JBossMappingManager 暴露此问题原因是 PicketLink Trust SecurityActions 实现在定义上下文时使用硬编码的默认值。 (CVE-2014-7827)

    已发现在特定条件下，当结束对话时，未正确审查线程本地变量中存储的对话状态信息。这可能会造成争用条件可能将上一个对话中的敏感信息暴露到当前对话中。 (CVE-2014-8122)

    Red Hat 在此感谢 JProfessionals 的 Rune Steinseth 报告 CVE-2014-8122 问题。CVE-2014-7849 和 CVE-2014-7853 问题是 Red Hat JBoss 企业应用程序平台团队的 Darran Lofthouse 发现的，CVE-2014-7827 问题是 Red Hat 质量工程团队的 Ondra Lukas 发现的。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.3.2，并包含缺陷补丁和多项增强。
    可从“参考”部分中的链接获取这些更改的相关文档。

    建议 Red Hat Enterprise Linux 6 上 Red Hat JBoss Enterprise Application Platform 6.3 的所有用户都升级到这些更新后的程序包。
    必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6Red Hat JBoss Enterprise Application Platform 6.3.3 更新中等(RHSA-2015:0217)

medium Nessus 插件 ID 81340

未找到变更日志