RHEL 6：JBoss EAP (RHSA-2015:1907)

medium Nessus 插件 ID 86413

语言：

简介

远程 Red Hat 主机缺少一个或多个安全更新。

描述

更新后的 jboss-ec2-eap 程序包修复了三个安全问题和若干缺陷并增加了多项增强，现在可用于 Red Hat Enterprise Linux 6 上的 Red Hat JBoss Enterprise Application Platform 6.4.4。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

已发现向 Web 控制台发送包含大标头的请求时，会在 HTTP 管理接口中产生 Java OutOfMemoryError。攻击者可利用此缺陷造成拒绝服务。(CVE-2015-5220)

已发现可以在 IFRAME 中打开 EAP 管理控制台，通过这一点可以拦截并操纵请求。攻击者可以利用此缺陷诱骗用户在控制台中执行任意操作（点击劫持）。
(CVE-2015-5178)

注意：要解决此问题，需要对控制台中发送 http 请求的方式进行更改；此更改可能会影响用户。有关此更改的详细信息，请参阅链接到“参考”部分的发行说明。

已发现使用 multipart/form-data 提交向 EAP Web 控制台上传文件时，控制台易受跨站请求伪造 (CSRF) 的攻击。这意味着攻击者可以利用此缺陷，配合伪造攻击，对认证的实例进行更改。(CVE-2015-5188)

CVE-2015-5220 问题是 Red Hat GSS 中间件团队的 Aaron Ogburn 发现的，CVE-2015-5188 问题是 Red Hat 中间件工程团队的 Jason Greene 发现的。

* jboss-ec2-eap 程序包为 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上运行的 Red Hat JBoss Enterprise Application Platform 提供脚本。程序包已通过此更新确保与 Red Hat JBoss Enterprise Application Platform 6.4.4 的兼容性。可从“参考”部分中的链接获取这些更改的相关文档。

建议所有 Red Hat Enterprise Linux 6 上的 Red Hat JBoss Enterprise Application Platform 6.4 的 jboss-ec2-eap 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

解决方案

更新受影响的 jboss-ec2-eap 和/或 jboss-ec2-eap-samples 程序包。

另见

https://access.redhat.com/documentation/en-US/

https://access.redhat.com/errata/RHSA-2015:1907

https://access.redhat.com/security/cve/cve-2015-5220

https://access.redhat.com/security/cve/cve-2015-5188

https://access.redhat.com/security/cve/cve-2015-5178

插件详情

严重性: Medium

ID: 86413

文件名: redhat-RHSA-2015-1907.nasl

版本: 2.10

类型: local

代理: unix

系列: Red Hat Local Security Checks

发布时间: 2015/10/16

最近更新时间: 2019/10/24

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus