远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2015:0847 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    已发现 Apache WSS4J 中之前用于针对 XML 加密的 Bleichenbacher 攻击 (CVE-2011-2487) 的对策会抛出异常，允许攻击者确定攻击尝试是否失败，并因此使得 WSS4J 容易遭到攻击。
    原始缺陷允许远程攻击者恢复对称密钥的整个明文形式。 (CVE-2015-0226)

    已发现 Apache WSS4J 允许通过 XML 签名封装攻击绕过 requireSignedEncryptedDataElements 配置属性。远程攻击者可利用此缺陷修改已签名请求的内容。 (CVE-2015-0227)

    已发现之前 JkMount 规则子树的 JkUnmount 规则可能被忽略。这可能允许远程攻击者访问否则无法访问的树中的私有项目。 (CVE-2014-8111)

    在 PicketLink 的 Service Provider 和 Identity Provider 处理某些请求的方式中发现缺陷。远程攻击者可利用此缺陷通过 PicketLink 登录到受害者帐户。 (CVE-2015-0277)

    已发现 Red Hat Enterprise Application Platform 提供的命令行界面会在用户主目录中创建名为 .jboss-cli-history 的历史文件，其默认文件权限不安全。这可允许恶意的本地用户获取否则无法访问的信息。 (CVE-2014-3586)

    CVE-2015-0277 问题由 Red Hat 的 Ondrej Kotek 发现。

    此版本的 JBoss Enterprise Application Platform 也包括缺陷补丁和增强功能。很快将可在“参考”部分链接的 JBoss Enterprise Application Platform 6.4.0 版本说明中查看这些更改的文档。

    在 Red Hat Enterprise Linux 6 上需要 JBoss Enterprise Application Platform 6.4.0 的所有用户应安装这些新程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6Red Hat JBoss Enterprise Application Platform 6.4.0 更新重要 (RHSA-2015:0847)

high Nessus 插件 ID 82896

未找到变更日志