There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Apache WSS4J before 1.6.17 and 2.x before 2.0.2, as used in Apache CXF 2.7.x before 2.7.13 and 3.0.x
    before 3.0.2, when using TransportBinding, does not properly enforce the SAML SubjectConfirmation method
    security semantics, which allows remote attackers to conduct spoofing attacks via unspecified vectors.
    (CVE-2014-3623)

CVE-2014-3623 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 5 / 6 / 7 主機上安裝的套件受到 RHSA-2014:2019 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    據發現，Apache CXF 從 X.509 憑證主體的通用名稱 (CN) 欄位錯誤地擷取主機名稱。
    攔截式攻擊者可利用此缺陷，使用特製的 X.509 憑證偽造 SSL 伺服器。(CVE-2012-6153、CVE-2014-3577)

    據發現，Apache WSS4J (適用於 Web 服務安全性的 Java) 由 Apache CXF 搭配 TransportBinding 使用時，預設為不會正確強制執行所有與 SAML SubjectConfirmation 方法相關的安全性需求。
    遠端攻擊者可利用此瑕疵，在受 WSS4j (其使用 SAML 進行驗證) 保護的 Web 服務端點上執行多種類型的偽造攻擊。(CVE-2014-3623)

    CVE-2012-6153 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現。

    建議所有在 Red Hat Enterprise Linux 5、6 和 7 中使用 Red Hat JBoss Enterprise Application Platform 6.3.2 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

针对 CVE-2014-3623 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 5/6/7 主机上安装的多个程序包受到 RHSA-2014:2019 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    已发现 Apache CXF 错误地从 X.509 证书主题的公用名 (CN) 字段中提取主机名。
    中间人攻击者可利用此缺陷，使用特别构建的 X.509 证书欺骗 SSL 服务器。(CVE-2012-6153, CVE-2014-3577)

    已发现含有 TransportBinding 的 Apache CXF 所使用的 Apache WSS4J (Web Services Security for Java) 在默认情况下未正确执行与 SAML SubjectConfirmation 方法相关的所有安全要求。
    远程攻击者可利用此缺陷，在由 WSS4j 保护的 Web 服务端点（通过 SAML 进行认证）发起各种欺骗攻击。(CVE-2014-3623)

    CVE-2012-6153 问题由 Red Hat 产品安全的 Florian Weimer 发现。

    建议 Red Hat Enterprise Linux 5、6 和 7 上 Red Hat JBoss Enterprise Application Platform 6.3.2 的所有用户都升级到这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

（CVE-2014-3623 のセキュリティ修正）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 5 / 6 / 7 ホストに、RHSA-2014:2019 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    Apache CXF により、X.509 証明書サブジェクトのコモンネーム（CN）フィールドからホスト名が不適切に抽出されることが判明しました。
    中間者攻撃者によってこの欠陥が使用されて、特別に細工された X.509 証明書を使用し、SSL サーバーが偽装されることがありました。(CVE-2012-6153、CVE-2014-3577)

    TransportBinding が含まれる Apache CXF によって使用される Apache WSS4J（Web Services Security for Java）が、デフォルトで、SAML SubjectConfirmation メソッドに関連付けられたセキュリティ要件のすべてを適切に実施していないことが判明しました。
    リモートの攻撃者がこの欠陥を利用して、認証で SAML に依存する WSS4j によって保護されている Web サービスのエンドポイントで、様々なタイプのなりすまし攻撃を実行する可能性があります。(CVE-2014-3623)

    CVE-2012-6153 の問題は、Red Hat 製品セキュリティの Florian Weimer によって検出されました。

    Red Hat Enterprise Linux 5、6 および 7 の Red Hat JBoss Enterprise アプリケーションプラットフォーム 6.3.2 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

CVE-2014-3623 に対するセキュリティ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Security fix for CVE-2014-3623)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Redhat Enterprise Linux 5 / 6 / 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2014:2019 advisory.

    Red Hat JBoss Enterprise Application Platform 6 is a platform for Java     applications based on JBoss Application Server 7.

    It was discovered that the Apache CXF incorrectly extracted the host name     from an X.509 certificate subject's Common Name (CN) field.
    A man-in-the-middle attacker could use this flaw to spoof an SSL server     using a specially crafted X.509 certificate. (CVE-2012-6153, CVE-2014-3577)

    It was found that Apache WSS4J (Web Services Security for Java), as used by     Apache CXF with the TransportBinding, did not, by default, properly enforce     all security requirements associated with SAML SubjectConfirmation methods.
    A remote attacker could use this flaw to perform various types of spoofing     attacks on web service endpoints secured by WSS4j that rely on SAML for     authentication. (CVE-2014-3623)

    The CVE-2012-6153 issue was discovered by Florian Weimer of Red Hat     Product Security.

    All users of Red Hat JBoss Enterprise Application Platform 6.3.2 on Red     Hat Enterprise Linux 5, 6, and 7 are advised to upgrade to these updated     packages. The JBoss server process must be restarted for the update to     take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Security fix for CVE-2014-3623

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
413181	SCA: security update for org.apache.ws.security:wss4j, org.apache.wss4j:wss4j-ws-security-dom (GHSA-99v3-9x35-c5vf)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
413181	SCA: security update for org.apache.ws.security:wss4j, org.apache.wss4j:wss4j-ws-security-dom (GHSA-99v3-9x35-c5vf)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
78811	Fedora 21：wss4j-1.6.17-1.fc21 (2014-13831)	Nessus	Fedora Local Security Checks	2014/11/3	2021/1/11	medium
80159	RHEL 5 / 6 / 7：Red Hat JBoss Enterprise Application Platform 6.3.2 (RHSA-2014:2019)	Nessus	Red Hat Local Security Checks	2014/12/22	2025/3/20	medium
78811	Fedora 21：wss4j-1.6.17-1.fc21 (2014-13831)	Nessus	Fedora Local Security Checks	2014/11/3	2021/1/11	medium
80159	RHEL 5 / 6 / 7：Red Hat JBoss Enterprise Application Platform 6.3.2 (RHSA-2014:2019)	Nessus	Red Hat Local Security Checks	2014/12/22	2025/3/20	medium
78900	Fedora 20：wss4j-1.6.17-1.fc20 (2014-13720)	Nessus	Fedora Local Security Checks	2014/11/7	2021/1/11	medium
78900	Fedora 20：wss4j-1.6.17-1.fc20 (2014-13720)	Nessus	Fedora Local Security Checks	2014/11/7	2021/1/11	medium
78811	Fedora 21 : wss4j-1.6.17-1.fc21 （2014-13831）	Nessus	Fedora Local Security Checks	2014/11/3	2021/1/11	medium
80159	RHEL 5 / 6 / 7 : Red Hat JBoss Enterprise Application Platform 6.3.2 (RHSA-2014:2019)	Nessus	Red Hat Local Security Checks	2014/12/22	2025/3/20	medium
78900	Fedora 20 : wss4j-1.6.17-1.fc20 （2014-13720）	Nessus	Fedora Local Security Checks	2014/11/7	2021/1/11	medium
78811	Fedora 21 : wss4j-1.6.17-1.fc21 (2014-13831)	Nessus	Fedora Local Security Checks	2014/11/3	2021/1/11	medium
80159	RHEL 5 / 6 / 7 : Red Hat JBoss Enterprise Application Platform 6.3.2 (RHSA-2014:2019)	Nessus	Red Hat Local Security Checks	2014/12/22	2025/3/20	medium
78900	Fedora 20 : wss4j-1.6.17-1.fc20 (2014-13720)	Nessus	Fedora Local Security Checks	2014/11/7	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium