There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - ResourceBuilderImpl.java in the RichFaces 3.x through 5.x implementation in Red Hat JBoss Web Framework
    Kit before 2.3.0, Red Hat JBoss Web Platform through 5.2.0, Red Hat JBoss Enterprise Application Platform
    through 4.3.0 CP10 and 5.x through 5.2.0, Red Hat JBoss BRMS through 5.3.1, Red Hat JBoss SOA Platform
    through 4.3.0 CP05 and 5.x through 5.3.1, Red Hat JBoss Portal through 4.3 CP07 and 5.x through 5.2.2, and
    Red Hat JBoss Operations Network through 2.4.2 and 3.x through 3.1.2 does not restrict the classes for
    which deserialization methods can be called, which allows remote attackers to execute arbitrary code via
    crafted serialized data. (CVE-2013-2165)

現已提供適用於 Red Hat Enterprise Linux 4 和 5 之 Red Hat JBoss Enterprise Application Platform 4.3.0 CP10 的更新版 jboss-seam2 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Seam 2 架構是以 Java 建構 Web 應用程式的應用程式架構。RichFaces 元件是一套開放原始碼架構，可將 Ajax 功能新增到現有的 JavaServer Faces (JSF) 應用程式中。

在 RichFaces ResourceBuilderImpl 用於處理還原序列化的方式中發現一個瑕疵。遠端攻擊者可利用此瑕疵，針對部署在伺服器上的任何序列化類別，觸發執行還原序列化方法。這可造成各種安全性影響，視這些類別的還原序列化邏輯而定。
(CVE-2013-2165)

此問題的修正納入了允許清單功能，可用於限制 RichFaces 能還原序列化的類別。

若您必須將未列出的類別 (例如：自訂類別) 加入允許清單，可透過下列任一方法，加入所需類別：

方法 1：實作 SerializableResource 介面。在 RichFaces 3 中，這是在 org.richfaces.resource.SerializableResource 的 org.ajax4jsf.resource.SerializableResource 和 RichFaces 4/5 中進行定義。

方法 2：將類別新增到 resource-serialization.properties 檔案 (套用此更新後，即可使用提供的預設內容檔)。若要執行此動作，您可延伸提供的架構，內容檔案可從 RichFaces 4/5 的 org.richfaces.resource 和 RichFaces 3 的 org.ajax4jsf.resource 之下取得。您必須將修改過的內容檔複製到部署於 version-specific 套件下的類別路徑中。

如果情況允許，建議您採用方法 1。

Red Hat 要感謝 Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 報告此問題。

警告：套用此更新之前，請先備份現有的 Red Hat JBoss Enterprise Application Platform 安裝 (包括所有應用程式和組態檔)。

建議所有在 Red Hat Enterprise Linux 4 和 5 中使用 Red Hat JBoss Enterprise Application Platform 4.3.0 CP10 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 之 Red Hat JBoss Web Platform 5.2.0 的更新版 richfaces 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

RichFaces 是一套開放原始碼架構，可將 Ajax 功能新增到現有的 JavaServer Faces (JSF) 應用程式中。

在 RichFaces ResourceBuilderImpl 用於處理還原序列化的方式中發現一個瑕疵。遠端攻擊者可利用此瑕疵，針對部署在伺服器上的任何序列化類別，觸發執行還原序列化方法。這可造成各種安全性影響，視這些類別的還原序列化邏輯而定。
(CVE-2013-2165)

此問題的修正納入了允許清單功能，可用於限制 RichFaces 能還原序列化的類別。

若您必須將未列出的類別 (例如：自訂類別) 加入允許清單，可透過下列任一方法，加入所需類別：

方法 1：實作 SerializableResource 介面。在 RichFaces 3 中，這是在 org.richfaces.resource.SerializableResource 的 org.ajax4jsf.resource.SerializableResource 和 RichFaces 4/5 中進行定義。

方法 2：將類別新增到 resource-serialization.properties 檔案 (套用此更新後，即可使用提供的預設內容檔)。若要執行此動作，您可延伸提供的架構，內容檔案可從 RichFaces 4/5 的 org.richfaces.resource 和 RichFaces 3 的 org.ajax4jsf.resource 之下取得。您必須將修改過的內容檔複製到部署於 version-specific 套件下的類別路徑中。

如果情況允許，建議您採用方法 1。

Red Hat 要感謝 Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 報告此問題。

警告：套用此更新之前，請先備份現有的 Red Hat JBoss Web Platform 安裝 (包括所有應用程式和組態檔)。

建議所有在 Red Hat Enterprise Linux 4、5 和 6 中使用 Red Hat JBoss Web Platform 5.2.0 的使用者皆升級至這些更新版套件。
必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

更新后的 richfaces 程序包修复了一个安全问题，现在可用于 Red Hat JBoss Enterprise Application Platform 5.2.0 for Red Hat Enterprise Linux 4、5 和 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

RichFaces 是一个将 Ajax 功能添加到现有 JavaServer Faces (JSF) 应用程序的开源框架。

在 RichFaces ResourceBuilderImpl 处理反序列化的方式中发现一个缺陷。远程攻击者可利用此缺陷在服务器上部署的任何可序列化类中触发反序列化方法的执行。这可导致各种安全影响，具体取决于这些类的反序列化逻辑。
(CVE-2013-2165)

此问题的补丁引入白名单来限制 RichFaces 可以反序列化的类。

如果您需要在白名单中加入新类，例如自定义类，可通过以下任一方法来实现：

方法 1：实现 SerializableResource 界面。在 RichFaces 3 中，这在 org.ajax4jsf.resource.SerializableResource 定义，而在 RichFaces 4/5 中，则是在 org.richfaces.resource.SerializableResource 定义。

方法 2：将类添加到 resource-serialization.properties 文件（默认属性文件在应用此更新后提供）。为此，可以扩展 RichFaces 3 中 org.ajax4jsf.resource 下和 RichFaces 4/5 中 org.richfaces.resource 下框架提供的属性文件。修改的属性文件必须复制到版本特定程序包下部署的类路径。

建议尽可能采用方法 1。

Red Hat 在此感谢 Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 报告此问题。

警告：在应用此更新之前，请先备份现有的 Red Hat JBoss Enterprise Application Platform 安装（包括所有应用程序和配置文件）。

建议 Red Hat Enterprise Linux 4、5 和 6 上的所有 Red Hat JBoss Enterprise Application Platform 5.2.0 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

更新后的 jboss-seam2 程序包修复了一个安全问题，现在可用于 Red Hat JBoss Enterprise Application Platform 4.3.0 CP10 for Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Seam 2 框架是用于在 Java 中构建 Web 应用程序的应用程序框架。RichFaces 组件是一个将 Ajax 功能添加到现有 JavaServer Faces (JSF) 应用程序的开源框架。

在 RichFaces ResourceBuilderImpl 处理反序列化的方式中发现一个缺陷。远程攻击者可利用此缺陷在服务器上部署的任何可序列化类中触发反序列化方法的执行。这可导致各种安全影响，具体取决于这些类的反序列化逻辑。
(CVE-2013-2165)

此问题的补丁引入白名单来限制 RichFaces 可以反序列化的类。

如果您需要在白名单中加入新类，例如自定义类，可通过以下任一方法来实现：

方法 1：实现 SerializableResource 界面。在 RichFaces 3 中，这在 org.ajax4jsf.resource.SerializableResource 定义，而在 RichFaces 4/5 中，则是在 org.richfaces.resource.SerializableResource 定义。

方法 2：将类添加到 resource-serialization.properties 文件（默认属性文件在应用此更新后提供）。为此，可以扩展 RichFaces 3 中 org.ajax4jsf.resource 下和 RichFaces 4/5 中 org.richfaces.resource 下框架提供的属性文件。修改的属性文件必须复制到版本特定程序包下部署的类路径。

建议尽可能采用方法 1。

Red Hat 在此感谢 Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 报告此问题。

警告：在应用此更新之前，请先备份现有的 Red Hat JBoss Enterprise Application Platform 安装（包括所有应用程序和配置文件）。

建议所有 Red Hat Enterprise Linux 4 和 5 上的 Red Hat JBoss Enterprise Application Platform 4.3.0 CP10 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

更新后的 richfaces 程序包修复了一个安全问题，现在可用于针对 Red Hat Enterprise Linux 4、5 和 6 的 Red Hat JBoss Web Platform 5.2.0。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

RichFaces 是一个将 Ajax 功能添加到现有 JavaServer Faces (JSF) 应用程序的开源框架。

在 RichFaces ResourceBuilderImpl 处理反序列化的方式中发现一个缺陷。远程攻击者可利用此缺陷在服务器上部署的任何可序列化类中触发反序列化方法的执行。这可导致各种安全影响，具体取决于这些类的反序列化逻辑。
(CVE-2013-2165)

此问题的补丁引入白名单来限制 RichFaces 可以反序列化的类。

如果您需要在白名单中加入新类，例如自定义类，可通过以下任一方法来实现：

方法 1：实现 SerializableResource 界面。在 RichFaces 3 中，这在 org.ajax4jsf.resource.SerializableResource 定义，而在 RichFaces 4/5 中，则是在 org.richfaces.resource.SerializableResource 定义。

方法 2：将类添加到 resource-serialization.properties 文件（默认属性文件在应用此更新后提供）。为此，可以扩展 RichFaces 3 中 org.ajax4jsf.resource 下和 RichFaces 4/5 中 org.richfaces.resource 下框架提供的属性文件。修改的属性文件必须复制到版本特定程序包下部署的类路径。

建议尽可能采用方法 1。

Red Hat 在此感谢 Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 报告此问题。

警告：在应用该更新之前，请对 Red Hat JBoss Web Platform（包括所有应用程序和配置文件）的现有安装进行备份。

建议 Red Hat Enterprise Linux 4、5 和 6 上 Red Hat JBoss Web Platform 5.2.0 的所有用户升级这些更新后的程序包。
必须重新启动 JBoss 服务器进程才能使更新生效。

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 之 Red Hat JBoss Enterprise Application Platform 5.2.0 的更新版 richfaces 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

RichFaces 是一套開放原始碼架構，可將 Ajax 功能新增到現有的 JavaServer Faces (JSF) 應用程式中。

在 RichFaces ResourceBuilderImpl 用於處理還原序列化的方式中發現一個瑕疵。遠端攻擊者可利用此瑕疵，針對部署在伺服器上的任何序列化類別，觸發執行還原序列化方法。這可造成各種安全性影響，視這些類別的還原序列化邏輯而定。
(CVE-2013-2165)

此問題的修正納入了允許清單功能，可用於限制 RichFaces 能還原序列化的類別。

若您必須將未列出的類別 (例如：自訂類別) 加入允許清單，可透過下列任一方法，加入所需類別：

方法 1：實作 SerializableResource 介面。在 RichFaces 3 中，這是在 org.richfaces.resource.SerializableResource 的 org.ajax4jsf.resource.SerializableResource 和 RichFaces 4/5 中進行定義。

方法 2：將類別新增到 resource-serialization.properties 檔案 (套用此更新後，即可使用提供的預設內容檔)。若要執行此動作，您可延伸提供的架構，內容檔案可從 RichFaces 4/5 的 org.richfaces.resource 和 RichFaces 3 的 org.ajax4jsf.resource 之下取得。您必須將修改過的內容檔複製到部署於 version-specific 套件下的類別路徑中。

如果情況允許，建議您採用方法 1。

Red Hat 要感謝 Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 報告此問題。

警告：套用此更新之前，請先備份現有的 Red Hat JBoss Enterprise Application Platform 安裝 (包括所有應用程式和組態檔)。

建議所有在 Red Hat Enterprise Linux 4、5 和 6 上使用 Red Hat JBoss Enterprise Application Platform 5.2.0 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

1 つのセキュリティ問題を修正する jboss-seam2 の更新済みのパッケージが、Red Hat Enterprise Linux 4 および 5 の Red Hat JBoss Enterprise Application Platform 4.3.0 CP10 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

JBoss Seam 2 フレームワークは、Java で Web アプリケーションを構築するためのアプリケーションフレームワークです。RichFaces コンポーネントは、Ajax の機能を既存の JavaServer Faces（JSF）アプリケーションに追加するオープンソースフレームワークです。

RichFaces ResourceBuilderImpl が逆シリアル化を処理する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、サーバーのシリアル化可能なクラスで逆シリアル化メソッドの実行を発生させる可能性があります。これにより、これらのクラスの逆シリアル化ロジックによっては、セキュリティ上さまざまな影響が出る可能性があります。
(CVE-2013-2165)

この課題の修正は、RichFaces が逆シリアル化できるクラスを制限するためにホワイトリストを導入します。

例えばカスタムクラスなど、既にリストに追加されていないクラスをホワイトリストに追加する必要がある場合、次の方法のいずれかにしたがって実行できます。

方法 1：SerializableResource インターフェイスを実装します。RichFaces 3 で、これは org.ajax4jsf.resource.SerializableResource で定義されており、RichFaces 4/5 では org.richfaces.resource.SerializableResource で定義されています。

方法 2：resource-serialization.properties ファイルにクラスを追加します（この更新が適用されると、デフォルトプロパティファイルが提供されます）。これを行うために、プロパティファイルが提供するフレームワークを拡張できます。このファイルは、RichFaces 3 の org.ajax4jsf.resource にあり、 RichFaces 4/5 の org.richfaces.resource にあります。修正されたプロパティファイルは、バージョン特有のパッケージにあるデプロイメントのクラスパスにコピーする必要があります。

可能な場合は、方法 1 にしたがうことを推奨します。

Red Hat はこの課題をレポートしてくれた寺田健（三井物産セキュアディレクション株式会社）に感謝の意を表します。

警告：この更新を適用する前に、既存の Red Hat JBoss Enterprise Application Platform のインストール内容（すべてのアプリケーションと構成ファイル）をバックアップしてください。

Red Hat Enterprise Linux 4 および 5 上の Red Hat JBoss Enterprise Application Platform 4.3.0 CP10 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

1 つのセキュリティ問題を修正する更新済みの RichFaces パッケージが、Red Hat Enterprise Linux 4、5、6 用の Red Hat JBoss Web Platform 5.2.0 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

RichFaces は、Ajax の機能を既存の JavaServer Faces（JSF）アプリケーションに追加するオープンソースフレームワークです。

RichFaces ResourceBuilderImpl が逆シリアル化を処理する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、サーバーのシリアル化可能なクラスで逆シリアル化メソッドの実行を発生させる可能性があります。これにより、これらのクラスの逆シリアル化ロジックによっては、セキュリティ上さまざまな影響が出る可能性があります。
（CVE-2013-2165）

この課題の修正は、RichFaces が逆シリアル化できるクラスを制限するためにホワイトリストを導入します。

例えばカスタムクラスなど、既にリストに追加されていないクラスをホワイトリストに追加する必要がある場合、次の方法のいずれかにしたがって実行できます。

方法 1：SerializableResource インターフェイスを実装します。RichFaces 3 で、これは org.ajax4jsf.resource.SerializableResource で定義されており、RichFaces 4/5 では org.richfaces.resource.SerializableResource で定義されています。

方法 2：resource-serialization.properties ファイルにクラスを追加します（この更新が適用されると、デフォルトプロパティファイルが提供されます）。これを行うために、プロパティファイルが提供するフレームワークを拡張できます。このファイルは、RichFaces 3 の org.ajax4jsf.resource にあり、 RichFaces 4/5 の org.richfaces.resource にあります。修正されたプロパティファイルは、バージョン特有のパッケージにあるデプロイメントのクラスパスにコピーする必要があります。

可能な場合は、方法 1 にしたがうことを推奨します。

Red Hat はこの課題をレポートしてくれた寺田健（三井物産セキュアディレクション株式会社）に感謝の意を表します。

警告：この更新を適用する前に、既存の Red Hat JBoss Web Platform のインストール内容（すべてのアプリケーションと構成ファイルが含まれる）をバックアップしてください。

Red Hat Enterprise Linux 4、5、6 上で Red Hat JBoss Enterprise Web Platform 5.2.0 を使用する全ユーザーは、これらの更新済みのパッケージへアップグレードすることが推奨されます。
この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

1 つのセキュリティ問題を修正する更新済みの richfaces パッケージが、Red Hat Enterprise Linux 4、5、および 6 用の Red Hat JBoss Enterprise Application Platform 5.2.0 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

RichFaces は、Ajax の機能を既存の JavaServer Faces（JSF）アプリケーションに追加するオープンソースフレームワークです。

RichFaces ResourceBuilderImpl が逆シリアル化を処理する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、サーバーのシリアル化可能なクラスで逆シリアル化メソッドの実行を発生させる可能性があります。これにより、これらのクラスの逆シリアル化ロジックによっては、セキュリティ上さまざまな影響が出る可能性があります。
(CVE-2013-2165)

この課題の修正は、RichFaces が逆シリアル化できるクラスを制限するためにホワイトリストを導入します。

例えばカスタムクラスなど、既にリストに追加されていないクラスをホワイトリストに追加する必要がある場合、次の方法のいずれかにしたがって実行できます。

方法 1：SerializableResource インターフェイスを実装します。RichFaces 3 で、これは org.ajax4jsf.resource.SerializableResource で定義されており、RichFaces 4/5 では org.richfaces.resource.SerializableResource で定義されています。

方法 2：resource-serialization.properties ファイルにクラスを追加します（この更新が適用されると、デフォルトプロパティファイルが提供されます）。これを行うために、プロパティファイルが提供するフレームワークを拡張できます。このファイルは、RichFaces 3 の org.ajax4jsf.resource にあり、 RichFaces 4/5 の org.richfaces.resource にあります。修正されたプロパティファイルは、バージョン特有のパッケージにあるデプロイメントのクラスパスにコピーする必要があります。

可能な場合は、方法 1 にしたがうことを推奨します。

Red Hat はこの課題をレポートしてくれた寺田健（三井物産セキュアディレクション株式会社）に感謝の意を表します。

警告：この更新を適用する前に、既存の Red Hat JBoss Enterprise Application Platform のインストール内容（すべてのアプリケーションと構成ファイル）をバックアップしてください。

Red Hat JBoss Enterprise Application Platform 5.2.0 および Red Hat Enterprise Linux 4、5、6 の全ユーザーは、これらの更新パッケージにアップグレードすることを推奨します。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

The remote Redhat Enterprise Linux 5 / 6 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2013:1043 advisory.

    RichFaces is an open source framework that adds Ajax capability into     existing JavaServer Faces (JSF) applications.

    A flaw was found in the way RichFaces ResourceBuilderImpl handled     deserialization. A remote attacker could use this flaw to trigger the     execution of the deserialization methods in any serializable class deployed     on the server. This could lead to a variety of security impacts depending     on the deserialization logic of these classes. (CVE-2013-2165)

    The fix for this issue introduces a whitelist to limit classes that can be     deserialized by RichFaces.

    If you require to whitelist a class that is not already listed, for     example, a custom class, you can achieve this by following one of these     methods:

    Method 1: Implementing the SerializableResource interface.
    In RichFaces 3, this is defined at     org.ajax4jsf.resource.SerializableResource and in RichFaces 4/5, at     org.richfaces.resource.SerializableResource.

    Method 2: Adding the class to the resource-serialization.properties file     (a default properties file is provided once this update is applied).
    To do this you can extend the framework provided properties file that is     available under org.ajax4jsf.resource in RichFaces 3 and     org.richfaces.resource in RichFaces 4/5. The modified properties file has     to be copied into the classpath of your deployment under the     version-specific packages.

    Where possible, it is recommended that Method 1 be followed.

    Red Hat would like to thank Takeshi Terada (Mitsui Bussan Secure     Directions, Inc.) for reporting this issue.

    Warning: Before applying this update, back up your existing Red Hat JBoss     Web Platform installation (including all applications and configuration     files).

    All users of Red Hat JBoss Web Platform 5.2.0 on Red Hat Enterprise Linux     4, 5, and 6 are advised to upgrade to these updated packages. The JBoss     server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 5 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2013:1044 advisory.

    The JBoss Seam 2 framework is an application framework for building web     applications in Java. The RichFaces component is an open source framework     that adds Ajax capability into existing JavaServer Faces (JSF)     applications.

    A flaw was found in the way RichFaces ResourceBuilderImpl handled     deserialization. A remote attacker could use this flaw to trigger the     execution of the deserialization methods in any serializable class deployed     on the server. This could lead to a variety of security impacts depending     on the deserialization logic of these classes. (CVE-2013-2165)

    The fix for this issue introduces a whitelist to limit classes that can be     deserialized by RichFaces.

    If you require to whitelist a class that is not already listed, for     example, a custom class, you can achieve this by following one of these     methods:

    Method 1: Implementing the SerializableResource interface.
    In RichFaces 3, this is defined at     org.ajax4jsf.resource.SerializableResource and in RichFaces 4/5, at     org.richfaces.resource.SerializableResource.

    Method 2: Adding the class to the resource-serialization.properties file     (a default properties file is provided once this update is applied).
    To do this you can extend the framework provided properties file that is     available under org.ajax4jsf.resource in RichFaces 3 and     org.richfaces.resource in RichFaces 4/5. The modified properties file has     to be copied into the classpath of your deployment under the     version-specific packages.

    Where possible, it is recommended that Method 1 be followed.

    Red Hat would like to thank Takeshi Terada (Mitsui Bussan Secure     Directions, Inc.) for reporting this issue.

    Warning: Before applying this update, back up your existing Red Hat JBoss     Enterprise Application Platform installation (including all applications     and configuration files).

    All users of Red Hat JBoss Enterprise Application Platform 4.3.0 CP10 on     Red Hat Enterprise Linux 4 and 5 are advised to upgrade to these updated     packages. The JBoss server process must be restarted for the update to take     effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Updated richfaces packages that fix one security issue are now available for Red Hat JBoss Enterprise Application Platform 5.2.0 for Red Hat Enterprise Linux 4, 5, and 6.

The Red Hat Security Response Team has rated this update as having critical security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

RichFaces is an open source framework that adds Ajax capability into existing JavaServer Faces (JSF) applications.

A flaw was found in the way RichFaces ResourceBuilderImpl handled deserialization. A remote attacker could use this flaw to trigger the execution of the deserialization methods in any serializable class deployed on the server. This could lead to a variety of security impacts depending on the deserialization logic of these classes.
(CVE-2013-2165)

The fix for this issue introduces a whitelist to limit classes that can be deserialized by RichFaces.

If you require to whitelist a class that is not already listed, for example, a custom class, you can achieve this by following one of these methods :

Method 1: Implementing the SerializableResource interface. In RichFaces 3, this is defined at org.ajax4jsf.resource.SerializableResource and in RichFaces 4/5, at org.richfaces.resource.SerializableResource.

Method 2: Adding the class to the resource-serialization.properties file (a default properties file is provided once this update is applied). To do this you can extend the framework provided properties file that is available under org.ajax4jsf.resource in RichFaces 3 and org.richfaces.resource in RichFaces 4/5. The modified properties file has to be copied into the classpath of your deployment under the version-specific packages.

Where possible, it is recommended that Method 1 be followed.

Red Hat would like to thank Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) for reporting this issue.

Warning: Before applying this update, back up your existing Red Hat JBoss Enterprise Application Platform installation (including all applications and configuration files).

All users of Red Hat JBoss Enterprise Application Platform 5.2.0 on Red Hat Enterprise Linux 4, 5, and 6 are advised to upgrade to these updated packages. The JBoss server process must be restarted for the update to take effect.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
409832	SCA: security update for org.richfaces:richfaces (GHSA-4344-frcp-j22q)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
409832	SCA: security update for org.richfaces:richfaces (GHSA-4344-frcp-j22q)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
67240	RHEL 4 / 5：jboss-seam2 (RHSA-2013:1044)	Nessus	Red Hat Local Security Checks	2013/7/11	2024/11/4	high
76289	RHEL 4 / 5 / 6：JBoss EWP 中的 richfaces (RHSA-2013:1043)	Nessus	Red Hat Local Security Checks	2014/6/28	2024/11/4	high
67239	RHEL 4 / 5 / 6：richfaces (RHSA-2013:1042)	Nessus	Red Hat Local Security Checks	2013/7/11	2021/1/14	high
67240	RHEL 4 / 5：jboss-seam2 (RHSA-2013:1044)	Nessus	Red Hat Local Security Checks	2013/7/11	2024/11/4	high
76289	RHEL 4 / 5 / 6：JBoss EWP 中的 richfaces (RHSA-2013:1043)	Nessus	Red Hat Local Security Checks	2014/6/28	2024/11/4	high
67239	RHEL 4 / 5 / 6：richfaces (RHSA-2013:1042)	Nessus	Red Hat Local Security Checks	2013/7/11	2021/1/14	high
67240	RHEL 4 / 5：jboss-seam2（RHSA-2013:1044）	Nessus	Red Hat Local Security Checks	2013/7/11	2024/11/4	high
76289	RHEL 4 / 5 / 6：JBoss EWP の RichFaces（RHSA-2013:1043）	Nessus	Red Hat Local Security Checks	2014/6/28	2024/11/4	high
67239	RHEL 4/5/6：richfaces（RHSA-2013:1042）	Nessus	Red Hat Local Security Checks	2013/7/11	2021/1/14	high
76289	RHEL 5 / 6 : richfaces (RHSA-2013:1043)	Nessus	Red Hat Local Security Checks	2014/6/28	2024/11/4	high
67240	RHEL 5 : jboss-seam2 (RHSA-2013:1044)	Nessus	Red Hat Local Security Checks	2013/7/11	2024/11/4	high
67239	RHEL 5 / 6 : richfaces (RHSA-2013:1042)	Nessus	Red Hat Local Security Checks	2013/7/11	2021/1/14	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high