There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The readObject method in the DiskFileItem class in Apache Tomcat and JBoss Web, as used in Red Hat JBoss
    Enterprise Application Platform 6.1.0 and Red Hat JBoss Portal 6.0.0, allows remote attackers to write to
    arbitrary files via a NULL byte in a file name in a serialized instance, a similar issue to CVE-2013-2186.
    NOTE: this issue is reportedly disputed by the Apache Tomcat team, although Red Hat considers it a
    vulnerability. The dispute appears to regard whether it is the responsibility of applications to avoid
    providing untrusted data to be deserialized, or whether this class should inherently protect against this
    issue (CVE-2013-2185)

現已提供適用於 Red Hat Enterprise Linux 5 和 6 之 Red Hat JBoss Enterprise Application Platform 6.1.0 的更新版 jbossweb 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Web 是一種在 Red Hat JBoss Enterprise Application Platform 中以 Apache Tomcat 為基礎的 web 容器。其提供適用於 JavaServer Pages (JSP) 和 Java Servlet 技術的訊號部署平台。

DiskFileItem 類別處理檔案名稱中的 NULL 字元的方式中有一個瑕疵。如果遠端攻擊者可提供 DiskFileItem 類別的序列化執行個體 (可在伺服器上還原序列化)，就可利用此瑕疵，在執行該應用程式伺服器處理程序之使用者可存取的伺服器上，對任何位置寫入任意內容。(CVE-2013-2185)

警告：套用此更新之前，請先備份現有的 Red Hat JBoss Enterprise Application Platform 安裝和已部署的應用程式。

建議所有在 Red Hat Enterprise Linux 5 和 6 中使用 Red Hat JBoss Enterprise Application Platform 6.1.0 的使用者皆升級至此更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

更新后的 jbossweb 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6 的 Red Hat JBoss Enterprise Application Platform 6.1.0。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Web 是 Red Hat JBoss Enterprise Application Platform 中基于 Apache Tomcat 的 Web 容器。它为 JavaServer Pages (JSP) 和 Java Servlet 技术提供了单一部署平台。

在 DiskFileItem 类处理文件名的空字符的方式中发现一个缺陷。能够提供 DiskFileItem 类序列化实例（将在服务器上予以反序列化）的远程攻击者可利用此缺陷，向服务器上任何可由运行应用程序服务器进程的用户访问的位置写入任意内容。(CVE-2013-2185)

警告：应用此更新之前，请备份现有 Red Hat JBoss Enterprise Application Platform 安装和部署的应用程序。

建议所有 Red Hat Enterprise Linux 5 和 6 上的 Red Hat JBoss Enterprise Application Platform 6.1.0 用户升级此更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

1 つのセキュリティ問題を修正する更新された jbossweb パッケージが、Red Hat Enterprise Linux 5 および 6 用の Red Hat JBoss Enterprise Application Platform 6.1.0 のために現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

JBoss Web は、Red Hat JBoss Enterprise Application Platform での、Apache Tomcat に基づいた Web コンテナです。JavaServer Pages（JSP）および Java サーブレットテクノロジーのための単一展開プラットフォームを提供します。

DiskFileItem クラスがファイル名の NULL 文字を処理する方法に欠陥が見つかりました。サーバーで逆シリアル化される DiskFileItem クラスのシリアライズ化インスタンスを供給できるリモートの攻撃者がこの欠陥を利用して、アプリケーションサーバープロセスを実行しているユーザーがアクセスできるサーバー上の任意の位置に任意のコンテンツを書き込む可能性があります。(CVE-2013-2185)

警告：この更新を適用する前に、既存の Red Hat JBoss Enterprise Application Platform のインストール内容および展開済みアプリケーションをバックアップしてください。

Red Hat Enterprise Linux 5 および 6 の Red Hat JBoss Enterprise Application Platform 6.1.0 の全ユーザーは、この更新済みパッケージにアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

An updated jbossweb package that fixes one security issue is now available for Red Hat JBoss Enterprise Application Platform 6.1.0 for Red Hat Enterprise Linux 5 and 6.

The Red Hat Security Response Team has rated this update as having important security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

JBoss Web is the web container, based on Apache Tomcat, in Red Hat JBoss Enterprise Application Platform. It provides a single deployment platform for the JavaServer Pages (JSP) and Java Servlet technologies.

A flaw was found in the way the DiskFileItem class handled NULL characters in file names. A remote attacker able to supply a serialized instance of the DiskFileItem class, which will be deserialized on a server, could use this flaw to write arbitrary content to any location on the server that is accessible to the user running the application server process. (CVE-2013-2185)

Warning: Before applying this update, back up your existing Red Hat JBoss Enterprise Application Platform installation and deployed applications.

All users of Red Hat JBoss Enterprise Application Platform 6.1.0 on Red Hat Enterprise Linux 5 and 6 are advised to upgrade to this updated package. The JBoss server process must be restarted for the update to take effect.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
419119	SCA: security update for org.apache.tomcat:tomcat (GHSA-v6c7-8qx5-8gmp)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
419119	SCA: security update for org.apache.tomcat:tomcat (GHSA-v6c7-8qx5-8gmp)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
69778	RHEL 5 / 6：jbossweb (RHSA-2013:1193)	Nessus	Red Hat Local Security Checks	2013/9/4	2021/1/14	high
69778	RHEL 5 / 6：jbossweb (RHSA-2013:1193)	Nessus	Red Hat Local Security Checks	2013/9/4	2021/1/14	high
69778	RHEL 5 / 6：jbossweb（RHSA-2013:1193）	Nessus	Red Hat Local Security Checks	2013/9/4	2021/1/14	high
69778	RHEL 5 / 6 : jbossweb (RHSA-2013:1193)	Nessus	Red Hat Local Security Checks	2013/9/4	2021/1/14	high

检测

插件搜索

high

high

high

high

high

high