远程主机上运行的 JBoss Enterprise Application Platform (EAP) 允许对“/web-console”目录下的某些文档进行未经认证的访问。这是由于“web.xml”中的错误配置仅要求对 GET 和 POST 请求进行认证。指定 HEAD、DELETE 或 PUT 等其他命令会导致在未经认证的情况下使用默认的 GET 处理程序。

远程攻击者可利用此问题在不提供认证的情况下获取敏感信息。

此 JBoss EAP 版本很可能存在其他漏洞，不过 Nessus 未检查这些问题。

根据其自我报告的版本号，远程 Junos Space 版本低于 13.3R1.8。因此，它受到捆绑的第三方软件组件中的多种漏洞的影响：

- RedHat JBoss 应用程序服务器中的多种漏洞。（CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、CVE-2011-5245、CVE-2012-0818）

- Oracle Java SE JDK 中的多种漏洞。
 （CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、CVE-2013-2422）

- Oracle MySQL Server 中的多种漏洞。
 （CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839）

- Apache HTTP Server 中的多种漏洞。
 （CVE-2013-1862、CVE-2013-1896）

- 已知的硬编码 MySQL 凭据。(CVE-2014-3413)

更新后的 JBoss Enterprise Application Platform (JBEAP) 4.2 程序包修复了三个安全问题和多个缺陷，现已如 JBEAP 4.2.0.CP09 一样可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 4 的此版本 JBEAP 可替代 JBEAP 4.2.0.CP08。

这些更新后的程序包包含多个缺陷补丁，其详细说明可从发行说明中找到。很快将可通过“参考”部分的链接获得发行说明。

此版本还修复了以下安全问题：

JMX 控制台配置仅为使用 GET 和 POST HTTP “动词”的请求指定认证要求。远程攻击者可能创建未指定 GET 或 POST 的 HTTP 请求，导致在未经认证情况下由默认 GET 处理程序执行。此版本包含具有已更新配置的 JMX 控制台，不再指定 HTTP 动词。这意味着认证要求适用于所有请求。
(CVE-2010-0738)

对于 CVE-2010-0738 问题，如果立即升级不适用或者已自定义服务器部署，可应用手动修复。有关详细信息，请参阅“参考”中链接的 JBEAP 发行说明中的“此版本已修复问题”部分 (JBPAPP-3952) 的“安全”子部分。根据发行说明进行更改之前，请联系 Red Hat JBoss Support 获得建议。

Red Hat 在此感谢 Minded Security 的 Stefano Di Paola 和 Giorgio Fedon 负责报告 CVE-2010-0738 问题。

默认拦截对 JBoss Application Server Web 控制台 (/web-console) 的未经认证的访问。但是，已发现此拦截不完善，仅拦截了 GET 和 POST HTTP 动词。远程攻击者可利用此缺陷获得敏感信息的访问权限。此版本包含具有已更新配置的 Web 控制台，现在默认拦截所有未经认证的访问。(CVE-2010-1428)

RHSA-2008:0825 更新修复了未经认证的用户可访问状态 servlet 的问题 (CVE-2008-3273)；但是，RHSA-2009:0346 更新中包含的一个缺陷补丁重新引入了该问题。远程攻击者可利用此缺陷获取有关部署的 Web 上下文的详细信息。(CVE-2010-1429)

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 4 上的所有 JBEAP 4.2 用户升级这些更新后的程序包。

更新后的 JBoss Enterprise Application Platform (JBEAP) 4.3 程序包修复了三个安全问题和多个缺陷，现已如 JBEAP 4.3.0.CP08 一样可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 4 的此版本 JBEAP 可替代 JBEAP 4.3.0.CP07。

这些更新后的程序包包含多个缺陷补丁，其详细说明可从发行说明中找到。很快将可通过“参考”部分的链接获得发行说明。

此版本还修复了以下安全问题：

JMX 控制台配置仅为使用 GET 和 POST HTTP “动词”的请求指定认证要求。远程攻击者可能创建未指定 GET 或 POST 的 HTTP 请求，导致在未经认证情况下由默认 GET 处理程序执行。此版本包含具有已更新配置的 JMX 控制台，不再指定 HTTP 动词。这意味着认证要求适用于所有请求。
(CVE-2010-0738)

对于 CVE-2010-0738 问题，如果立即升级不适用或者已自定义服务器部署，可应用手动修复。有关详细信息，请参阅“参考”中链接的 JBEAP 发行说明中的“此版本已修复问题”部分 (JBPAPP-3952) 的“安全”子部分。根据发行说明进行更改之前，请联系 Red Hat JBoss Support 获得建议。

Red Hat 在此感谢 Minded Security 的 Stefano Di Paola 和 Giorgio Fedon 负责报告 CVE-2010-0738 问题。

默认拦截对 JBoss Application Server Web 控制台 (/web-console) 的未经认证的访问。但是，已发现此拦截不完善，仅拦截了 GET 和 POST HTTP 动词。远程攻击者可利用此缺陷获得敏感信息的访问权限。此版本包含具有已更新配置的 Web 控制台，现在默认拦截所有未经认证的访问。(CVE-2010-1428)

RHSA-2008:0826 更新修复了未经认证的用户可访问状态 servlet 的问题 (CVE-2008-3273)；但是，RHSA-2009:0347 更新中包含的一个缺陷补丁重新引入了该问题。远程攻击者可利用此缺陷获取有关部署的 Web 上下文的详细信息。(CVE-2010-1429)

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 4 上的所有 JBEAP 4.3 用户升级这些更新后的程序包。

更新后的 JBoss Enterprise Application Platform (JBEAP) 4.2 程序包修复了三个安全问题和多个缺陷，现已如 JBEAP 4.2.0.CP09 一样可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 5 的此版本 JBEAP 可替代 JBEAP 4.2.0.CP08。

这些更新后的程序包包含多个缺陷补丁，其详细说明可从发行说明中找到。很快将可通过“参考”部分的链接获得发行说明。

此版本还修复了以下安全问题：

JMX 控制台配置仅为使用 GET 和 POST HTTP “动词”的请求指定认证要求。远程攻击者可能创建未指定 GET 或 POST 的 HTTP 请求，导致在未经认证情况下由默认 GET 处理程序执行。此版本包含具有已更新配置的 JMX 控制台，不再指定 HTTP 动词。这意味着认证要求适用于所有请求。
(CVE-2010-0738)

对于 CVE-2010-0738 问题，如果立即升级不适用或者已自定义服务器部署，可应用手动修复。有关详细信息，请参阅“参考”中链接的 JBEAP 发行说明中的“此版本已修复问题”部分 (JBPAPP-3952) 的“安全”子部分。根据发行说明进行更改之前，请联系 Red Hat JBoss Support 获得建议。

Red Hat 在此感谢 Minded Security 的 Stefano Di Paola 和 Giorgio Fedon 负责报告 CVE-2010-0738 问题。

默认拦截对 JBoss Application Server Web 控制台 (/web-console) 的未经认证的访问。但是，已发现此拦截不完善，仅拦截了 GET 和 POST HTTP 动词。远程攻击者可利用此缺陷获得敏感信息的访问权限。此版本包含具有已更新配置的 Web 控制台，现在默认拦截所有未经认证的访问。(CVE-2010-1428)

RHSA-2008:0827 更新修复了未经认证的用户可访问状态 servlet 的问题 (CVE-2008-3273)；但是，RHSA-2009:0348 更新中包含的一个缺陷补丁重新引入了该问题。远程攻击者可利用此缺陷获取有关部署的 Web 上下文的详细信息。(CVE-2010-1429)

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 5 上的所有 JBEAP 4.2 用户升级这些更新后的程序包。

更新后的 JBoss Enterprise Application Platform (JBEAP) 4.3 程序包修复了三个安全问题和多个缺陷，现已如 JBEAP 4.3.0.CP08 一样可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 5 的此版本 JBEAP 可替代 JBEAP 4.3.0.CP07。

这些更新后的程序包包含多个缺陷补丁，其详细说明可从发行说明中找到。很快将可通过“参考”部分的链接获得发行说明。

此版本还修复了以下安全问题：

JMX 控制台配置仅为使用 GET 和 POST HTTP “动词”的请求指定认证要求。远程攻击者可能创建未指定 GET 或 POST 的 HTTP 请求，导致在未经认证情况下由默认 GET 处理程序执行。此版本包含具有已更新配置的 JMX 控制台，不再指定 HTTP 动词。这意味着认证要求适用于所有请求。
(CVE-2010-0738)

对于 CVE-2010-0738 问题，如果立即升级不适用或者已自定义服务器部署，可应用手动修复。有关详细信息，请参阅“参考”中链接的 JBEAP 发行说明中的“此版本已修复问题”部分 (JBPAPP-3952) 的“安全”子部分。根据发行说明进行更改之前，请联系 Red Hat JBoss Support 获得建议。

Red Hat 在此感谢 Minded Security 的 Stefano Di Paola 和 Giorgio Fedon 负责报告 CVE-2010-0738 问题。

默认拦截对 JBoss Application Server Web 控制台 (/web-console) 的未经认证的访问。但是，已发现此拦截不完善，仅拦截了 GET 和 POST HTTP 动词。远程攻击者可利用此缺陷获得敏感信息的访问权限。此版本包含具有已更新配置的 Web 控制台，现在默认拦截所有未经认证的访问。(CVE-2010-1428)

RHSA-2008:0828 更新修复了未经认证的用户可访问状态 servlet 的问题 (CVE-2008-3273)；但是，RHSA-2009:0349 更新中包含的一个缺陷补丁重新引入了该问题。远程攻击者可利用此缺陷获取有关部署的 Web 上下文的详细信息。(CVE-2010-1429)

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 5 上的所有 JBEAP 4.3 用户升级这些更新后的程序包。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
46181	JBoss Enterprise Application Platform“/web-console”认证绕过	Nessus	Web Servers	2010/4/29	2023/4/25	medium
80195	Juniper Junos Space < 13.3R1.8 多种漏洞 (JSA10627)	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical
63928	RHEL 4：JBoss EAP (RHSA-2010:0376)	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium
63929	RHEL 4：JBoss EAP (RHSA-2010:0377)	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium
63930	RHEL 5：JBoss EAP (RHSA-2010:0378)	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium
63931	RHEL 5：JBoss EAP (RHSA-2010:0379)	Nessus	Red Hat Local Security Checks	2013/1/24	2022/5/25	medium

检测

插件搜索

medium

critical

medium

medium

medium

medium