The remote Redhat Enterprise Linux 5 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2015:0216 advisory.

    Red Hat JBoss Enterprise Application Platform 6 is a platform for Java     applications based on JBoss Application Server 7.

    It was found that the RESTEasy DocumentProvider did not set the     external-parameter-entities and external-general-entities features     appropriately, thus allowing external entity expansion. A remote attacker     able to send XML requests to a RESTEasy endpoint could use this flaw to     read files accessible to the user running the application server, and     potentially perform other more advanced XML eXternal Entity (XXE) attacks.
    (CVE-2014-7839)

    It was discovered that the Role Based Access Control (RBAC) implementation     did not sufficiently verify all authorization conditions that are required     by the Maintainer role to perform certain administrative actions.
    An authenticated user with the Maintainer role could use this flaw to add,     modify, or undefine a limited set of attributes and their values, which     otherwise cannot be written to. (CVE-2014-7849)

    It was discovered that the JBoss Application Server (WildFly) JacORB     subsystem incorrectly assigned socket-binding-ref sensitivity     classification for the security-domain attribute. An authenticated user     with a role that has access to attributes with socket-binding-ref and not     security-domain-ref sensitivity classification could use this flaw to     access sensitive information present in the security-domain attribute.
    (CVE-2014-7853)

    It was found that when processing undefined security domains, the     org.jboss.security.plugins.mapping.JBossMappingManager implementation would     fall back to the default security domain if it was available. A user with     valid credentials in the defined default domain, with a role that is valid     in the expected application domain, could perform actions that were     otherwise not available to them. When using the SAML2 STS Login Module,     JBossMappingManager exposed this issue due to the PicketLink Trust     SecurityActions implementation using a hardcoded default value when     defining the context. (CVE-2014-7827)

    It was discovered that under specific conditions the conversation state     information stored in a thread-local variable was not sanitized correctly     when the conversation ended. This could lead to a race condition that could     potentially expose sensitive information from a previous conversation to     the current conversation. (CVE-2014-8122)

    Red Hat would like to thank Rune Steinseth of JProfessionals for reporting     the CVE-2014-8122 issue. The CVE-2014-7849 and CVE-2014-7853 issues were     discovered by Darran Lofthouse of the Red Hat JBoss Enterprise Application     Platform Team, and the CVE-2014-7827 issue was discovered by Ondra Lukas of     the Red Hat Quality Engineering Team.

    This release serves as a replacement for Red Hat JBoss Enterprise     Application Platform 6.3.2, and includes bug fixes and enhancements.
    Documentation for these changes is available from the link in the     References section.

    All users of Red Hat JBoss Enterprise Application Platform 6.3 on Red Hat     Enterprise Linux 6 are advised to upgrade to these updated packages.
    The JBoss server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2015:0217 advisory.

    Red Hat JBoss Enterprise Application Platform 6 is a platform for Java     applications based on JBoss Application Server 7.

    It was found that the RESTEasy DocumentProvider did not set the     external-parameter-entities and external-general-entities features     appropriately, thus allowing external entity expansion. A remote attacker     able to send XML requests to a RESTEasy endpoint could use this flaw to     read files accessible to the user running the application server, and     potentially perform other more advanced XML eXternal Entity (XXE) attacks.
    (CVE-2014-7839)

    It was discovered that the Role Based Access Control (RBAC) implementation     did not sufficiently verify all authorization conditions that are required     by the Maintainer role to perform certain administrative actions.
    An authenticated user with the Maintainer role could use this flaw to add,     modify, or undefine a limited set of attributes and their values, which     otherwise cannot be written to. (CVE-2014-7849)

    It was discovered that the JBoss Application Server (WildFly) JacORB     subsystem incorrectly assigned socket-binding-ref sensitivity     classification for the security-domain attribute. An authenticated user     with a role that has access to attributes with socket-binding-ref and not     security-domain-ref sensitivity classification could use this flaw to     access sensitive information present in the security-domain attribute.
    (CVE-2014-7853)

    It was found that when processing undefined security domains, the     org.jboss.security.plugins.mapping.JBossMappingManager implementation would     fall back to the default security domain if it was available. A user with     valid credentials in the defined default domain, with a role that is valid     in the expected application domain, could perform actions that were     otherwise not available to them. When using the SAML2 STS Login Module,     JBossMappingManager exposed this issue due to the PicketLink Trust     SecurityActions implementation using a hardcoded default value when     defining the context. (CVE-2014-7827)

    It was discovered that under specific conditions the conversation state     information stored in a thread-local variable was not sanitized correctly     when the conversation ended. This could lead to a race condition that could     potentially expose sensitive information from a previous conversation to     the current conversation. (CVE-2014-8122)

    Red Hat would like to thank Rune Steinseth of JProfessionals for reporting     the CVE-2014-8122 issue. The CVE-2014-7849 and CVE-2014-7853 issues were     discovered by Darran Lofthouse of the Red Hat JBoss Enterprise Application     Platform Team, and the CVE-2014-7827 issue was discovered by Ondra Lukas of     the Red Hat Quality Engineering Team.

    This release serves as a replacement for Red Hat JBoss Enterprise     Application Platform 6.3.2, and includes bug fixes and enhancements.
    Documentation for these changes is available from the link in the     References section.

    All users of Red Hat JBoss Enterprise Application Platform 6.3 on Red Hat     Enterprise Linux 6 are advised to upgrade to these updated packages.
    The JBoss server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2015:0218 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    據發現，RESTEasy DocumentProvider 並未正確設定 external-parameter-entities 和 external-general-entities 功能，進而允許外部實體擴充。遠端攻擊者若能傳送 XML 要求至 RESTEasy 端點，就可利用此瑕疵，讀取執行應用程式伺服器的使用者可存取的檔案，且可能發動其他更進階的 XML 外部實體 (XXE) 攻擊。
    (CVE-2014-7839)

    據發現，角色型存取控制 (RBAC) 實作並未充分驗證維護者角色執行特定管理動作所需的所有授權條件。
    經驗證的維護者角色使用者可利用此瑕疵新增、修改或取消定義一組有限的屬性及其值而這些屬性原本是無法寫入的。 (CVE-2014-7849)

    據發現，JBoss Application Server (WildFly) JacORB 子系統為安全性網域屬性指派的 socket-binding-ref 敏感度分類有錯誤。經驗證的使用者的角色若可存取具有 socket-binding-ref 而非 security-domain-ref 敏感度分類的屬性，就能利用此瑕疵來存取安全性網域屬性中存在的敏感資訊。
    (CVE-2014-7853)

    據發現，處理未定義的安全性網域時，org.jboss.security.plugins.mapping.JBossMappingManager 實作會回復成預設的安全性網域 (若可用)。若使用者在已定義的預設網域中具備有效認證，且在預期的應用程式網域中具備有效的角色，就可執行其原來無法使用的動作。使用 SAML2 STS 登入模組時JBossMappingManager 出現此問題因為 PicketLink Trust SecurityActions 實作在定義內容時使用硬式編碼預設值。 (CVE-2014-7827)

    據發現，在特定情況下，交談結束時 thread-local 變數中儲存的交談狀態資訊並未正確清理。這可導致爭用情形可能將敏感資訊從先前的交談洩漏至目前的交談。 (CVE-2014-8122)

    Red Hat 要感謝 JProfessionals 的 Rune Steinseth 報告 CVE-2014-8122 問題。CVE-2014-7849 和 CVE-2014-7853 問題的發現者為 Red Hat JBoss Enterprise Application Platform 團隊的 Darran Lofthouse，而 CVE-2014-7827 問題的發現者則是 Red Hat 品質工程團隊的 Ondra Lukas。

    此版本將作為 Red Hat JBoss Enterprise Application Platform 6.3.2 的取代套件，其中包含錯誤修正和增強功能。
    這些變更的相關文件可從〈參照〉一節中的連結取得。

    建議所有在 Red Hat Enterprise Linux 6 中使用 Red Hat JBoss Enterprise Application Platform 6.3 的使用者皆升級至這些更新版套件。
    必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2015:0217 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    已发现 RESTEasy DocumentProvider 未正确设置 external-parameter-entities 和 external-general-entities 功能，因此允许外部实体扩展。能够向 RESTEasy 端点发送 XML 请求的远程攻击者可利用此缺陷读取运行应用程序服务器的用户可访问的文件，并可发动其他更高级的 XML 外部实体 (XXE) 攻击。
    (CVE-2014-7839)

    已发现基于角色的访问控制 (RBAC) 实现未充分验证维护人员角色执行某些管理操作时所需的全部授权条件。
    具有维护者角色的经身份验证的用户可利用此缺陷添加、修改或取消定义一组有限的属性及其值否则无法对其进行写入。 (CVE-2014-7849)

    已发现 JBoss 应用程序服务器 (WildFly) JacORB 子系统未针对 security-domain 属性正确分配 socket-binding-ref 灵敏度分类。对于具有 socket-binding-ref 灵敏度分类而没有 security-domain-ref 灵敏度分类的属性，若经认证的用户角色对该属性具有访问权限，则可使用此缺陷访问 security-domain 属性中存在的敏感信息。
    (CVE-2014-7853)

    已发现在处理未定义的安全域时，org.jboss.security.plugins.mapping.JBossMappingManager 实现会后退到默认安全域（如果可用）。如果用户具备定义的默认域中的有效凭据，同时具备在预期应用程序域中有效的角色，则可执行他们原本无法执行的操作。使用 SAML2 STS 登录模块时JBossMappingManager 暴露此问题原因是 PicketLink Trust SecurityActions 实现在定义上下文时使用硬编码的默认值。 (CVE-2014-7827)

    已发现在特定条件下，当结束对话时，未正确审查线程本地变量中存储的对话状态信息。这可能会造成争用条件可能将上一个对话中的敏感信息暴露到当前对话中。 (CVE-2014-8122)

    Red Hat 在此感谢 JProfessionals 的 Rune Steinseth 报告 CVE-2014-8122 问题。CVE-2014-7849 和 CVE-2014-7853 问题是 Red Hat JBoss 企业应用程序平台团队的 Darran Lofthouse 发现的，CVE-2014-7827 问题是 Red Hat 质量工程团队的 Ondra Lukas 发现的。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.3.2，并包含缺陷补丁和多项增强。
    可从“参考”部分中的链接获取这些更改的相关文档。

    建议 Red Hat Enterprise Linux 6 上 Red Hat JBoss Enterprise Application Platform 6.3 的所有用户都升级到这些更新后的程序包。
    必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2015:0216 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    已发现 RESTEasy DocumentProvider 未正确设置 external-parameter-entities 和 external-general-entities 功能，因此允许外部实体扩展。能够向 RESTEasy 端点发送 XML 请求的远程攻击者可利用此缺陷读取运行应用程序服务器的用户可访问的文件，并可发动其他更高级的 XML 外部实体 (XXE) 攻击。
    (CVE-2014-7839)

    已发现基于角色的访问控制 (RBAC) 实现未充分验证维护人员角色执行某些管理操作时所需的全部授权条件。
    具有维护者角色的经身份验证的用户可利用此缺陷添加、修改或取消定义一组有限的属性及其值否则无法对其进行写入。 (CVE-2014-7849)

    已发现 JBoss 应用程序服务器 (WildFly) JacORB 子系统未针对 security-domain 属性正确分配 socket-binding-ref 灵敏度分类。对于具有 socket-binding-ref 灵敏度分类而没有 security-domain-ref 灵敏度分类的属性，若经认证的用户角色对该属性具有访问权限，则可使用此缺陷访问 security-domain 属性中存在的敏感信息。
    (CVE-2014-7853)

    已发现在处理未定义的安全域时，org.jboss.security.plugins.mapping.JBossMappingManager 实现会后退到默认安全域（如果可用）。如果用户具备定义的默认域中的有效凭据，同时具备在预期应用程序域中有效的角色，则可执行他们原本无法执行的操作。使用 SAML2 STS 登录模块时JBossMappingManager 暴露此问题原因是 PicketLink Trust SecurityActions 实现在定义上下文时使用硬编码的默认值。 (CVE-2014-7827)

    已发现在特定条件下，当结束对话时，未正确审查线程本地变量中存储的对话状态信息。这可能会造成争用条件可能将上一个对话中的敏感信息暴露到当前对话中。 (CVE-2014-8122)

    Red Hat 在此感谢 JProfessionals 的 Rune Steinseth 报告 CVE-2014-8122 问题。CVE-2014-7849 和 CVE-2014-7853 问题是 Red Hat JBoss 企业应用程序平台团队的 Darran Lofthouse 发现的，CVE-2014-7827 问题是 Red Hat 质量工程团队的 Ondra Lukas 发现的。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.3.2，并包含缺陷补丁和多项增强。
    可从“参考”部分中的链接获取这些更改的相关文档。

    建议 Red Hat Enterprise Linux 6 上 Red Hat JBoss Enterprise Application Platform 6.3 的所有用户都升级到这些更新后的程序包。
    必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2015:0218 advisory.

    Red Hat JBoss Enterprise Application Platform 6 is a platform for Java     applications based on JBoss Application Server 7.

    It was found that the RESTEasy DocumentProvider did not set the     external-parameter-entities and external-general-entities features     appropriately, thus allowing external entity expansion. A remote attacker     able to send XML requests to a RESTEasy endpoint could use this flaw to     read files accessible to the user running the application server, and     potentially perform other more advanced XML eXternal Entity (XXE) attacks.
    (CVE-2014-7839)

    It was discovered that the Role Based Access Control (RBAC) implementation     did not sufficiently verify all authorization conditions that are required     by the Maintainer role to perform certain administrative actions.
    An authenticated user with the Maintainer role could use this flaw to add,     modify, or undefine a limited set of attributes and their values, which     otherwise cannot be written to. (CVE-2014-7849)

    It was discovered that the JBoss Application Server (WildFly) JacORB     subsystem incorrectly assigned socket-binding-ref sensitivity     classification for the security-domain attribute. An authenticated user     with a role that has access to attributes with socket-binding-ref and not     security-domain-ref sensitivity classification could use this flaw to     access sensitive information present in the security-domain attribute.
    (CVE-2014-7853)

    It was found that when processing undefined security domains, the     org.jboss.security.plugins.mapping.JBossMappingManager implementation would     fall back to the default security domain if it was available. A user with     valid credentials in the defined default domain, with a role that is valid     in the expected application domain, could perform actions that were     otherwise not available to them. When using the SAML2 STS Login Module,     JBossMappingManager exposed this issue due to the PicketLink Trust     SecurityActions implementation using a hardcoded default value when     defining the context. (CVE-2014-7827)

    It was discovered that under specific conditions the conversation state     information stored in a thread-local variable was not sanitized correctly     when the conversation ended. This could lead to a race condition that could     potentially expose sensitive information from a previous conversation to     the current conversation. (CVE-2014-8122)

    Red Hat would like to thank Rune Steinseth of JProfessionals for reporting     the CVE-2014-8122 issue. The CVE-2014-7849 and CVE-2014-7853 issues were     discovered by Darran Lofthouse of the Red Hat JBoss Enterprise Application     Platform Team, and the CVE-2014-7827 issue was discovered by Ondra Lukas of     the Red Hat Quality Engineering Team.

    This release serves as a replacement for Red Hat JBoss Enterprise     Application Platform 6.3.2, and includes bug fixes and enhancements.
    Documentation for these changes is available from the link in the     References section.

    All users of Red Hat JBoss Enterprise Application Platform 6.3 on Red Hat     Enterprise Linux 6 are advised to upgrade to these updated packages.
    The JBoss server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2015:0216 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    RESTEasy DocumentProvider が、 external-parameter-entities と external-general-entities の機能を適切に設定していないため、外部エンティティが拡張される可能性があることが、判明しました。RESTEasy エンドポイントに XML リクエストを送信できるリモートの攻撃者が、この欠陥を利用して、アプリケーションサーバーを実行しているユーザーがアクセスできるファイルを読み取り、より高度な別の XML eXternal Entity（XXE）攻撃をさらに仕掛ける可能性があります。
    (CVE-2014-7839)

    ロールベースアクセスコントロール（RBAC）の実装が、特定の管理アクションを行うためにメンテナーの役割を必要としているすべての承認条件を、充分に検証していないことが判明しました。
    メンテナーロールを持つ認証されたユーザーが、この欠陥を利用して、制限された属性とその値のセットを追加、変更、または定義解除する可能性があります。これは他の方法では書き込みできません。CVE-2014-7849

    JBoss Application Server（WildFly）の JacORB サブシステムが、security-domain 属性の socket-binding-ref 秘密度分類を間違って割り当てていることが判明しました。認証されたユーザーが、その役割で security-domain-ref ではなく socket-binding-ref の秘密度分類がある属性にアクセスできる場合、この欠陥を利用して、 security-domain 属性に存在する機密情報にアクセスする可能性があります。
    (CVE-2014-7853)

    org.jboss.security.plugins.mapping.JBossMappingManager の実装が、未定義のセキュリティドメインを処理する際に、使用できる場合にデフォルトのセキュリティドメインに戻ることが見つかりました。定義されたデフォルトのドメインで認証情報が有効であり、想定されるアプリケーションドメインでその役割が有効な場合に、ユーザーが、他の場合には不可能な、アクションを実行する可能性があります。SAML2 STS Login モジュールを使用する際、コンテキストの定義時にハードコードされたデフォルト値を使用する PicketLink Trust SecurityActions 実装により、JBossMappingManager がこの問題を露呈していました。CVE-2014-7827

    スレッドローカルな変数に保存されているカンバセ―ション状態の情報が、特定の状況でカンバセ―ションの終了時に正しくサニタイズされていないことが判明しました。これにより競合状態が発生し、以前の会話から現在の会話への機密情報が漏洩する可能性があります。CVE-2014-8122

    Red Hat は、CVE-2014-8122 の問題を報告してくれた JProfessionals の Rune Steinseth 氏に感謝の意を表します。CVE-2014-7849 と CVE-2014-7853 の問題は Red Hat JBoss Enterprise アプリケーションプラットフォームチームの Darran Lofthouse 氏により、 CVE-2014-7827 の問題は Red Hat 品質エンジニアリングチームの Ondra Lukas 氏により発見されました。

    このリリースは、Red Hat JBoss Enterprise Application Platform 6.3.2 を置き換え、バグ修正と拡張機能が含まれています。
    これらの変更についてのドキュメントは、「参照」セクションのリンクから入手できます。

    Red Hat Enterprise Linux 6 の Red Hat JBoss Enterprise Application Platform 6.3 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。
    この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートRedhat Enterprise Linux 7ホストに、RHSA-2015:0218アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    RESTEasy DocumentProvider が、 external-parameter-entities と external-general-entities の機能を適切に設定していないため、外部エンティティが拡張される可能性があることが、判明しました。RESTEasy エンドポイントに XML リクエストを送信できるリモートの攻撃者が、この欠陥を利用して、アプリケーションサーバーを実行しているユーザーがアクセスできるファイルを読み取り、より高度な別の XML eXternal Entity（XXE）攻撃をさらに仕掛ける可能性があります。
    (CVE-2014-7839)

    ロールベースアクセスコントロール（RBAC）の実装が、特定の管理アクションを行うためにメンテナーの役割を必要としているすべての承認条件を、充分に検証していないことが判明しました。
    メンテナーロールを持つ認証されたユーザーが、この欠陥を利用して、制限された属性とその値のセットを追加、変更、または定義解除する可能性があります。これは他の方法では書き込みできません。CVE-2014-7849

    JBoss Application Server（WildFly）の JacORB サブシステムが、security-domain 属性の socket-binding-ref 秘密度分類を間違って割り当てていることが判明しました。認証されたユーザーが、その役割で security-domain-ref ではなく socket-binding-ref の秘密度分類がある属性にアクセスできる場合、この欠陥を利用して、 security-domain 属性に存在する機密情報にアクセスする可能性があります。
    (CVE-2014-7853)

    org.jboss.security.plugins.mapping.JBossMappingManager の実装が、未定義のセキュリティドメインを処理する際に、使用できる場合にデフォルトのセキュリティドメインに戻ることが見つかりました。定義されたデフォルトのドメインで認証情報が有効であり、想定されるアプリケーションドメインでその役割が有効な場合に、ユーザーが、他の場合には不可能な、アクションを実行する可能性があります。SAML2 STS Login モジュールを使用する際、コンテキストの定義時にハードコードされたデフォルト値を使用する PicketLink Trust SecurityActions 実装により、JBossMappingManager がこの問題を露呈していました。CVE-2014-7827

    スレッドローカルな変数に保存されているカンバセ―ション状態の情報が、特定の状況でカンバセ―ションの終了時に正しくサニタイズされていないことが判明しました。これにより競合状態が発生し、以前の会話から現在の会話への機密情報が漏洩する可能性があります。CVE-2014-8122

    Red Hat は、CVE-2014-8122 の問題を報告してくれた JProfessionals の Rune Steinseth 氏に感謝の意を表します。CVE-2014-7849 と CVE-2014-7853 の問題は Red Hat JBoss Enterprise アプリケーションプラットフォームチームの Darran Lofthouse 氏により、 CVE-2014-7827 の問題は Red Hat 品質エンジニアリングチームの Ondra Lukas 氏により発見されました。

    このリリースは、Red Hat JBoss Enterprise Application Platform 6.3.2 を置き換え、バグ修正と拡張機能が含まれています。
    これらの変更についてのドキュメントは、「参照」セクションのリンクから入手できます。

    Red Hat Enterprise Linux 6 の Red Hat JBoss Enterprise Application Platform 6.3 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。
    この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2015:0217 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    RESTEasy DocumentProvider が、 external-parameter-entities と external-general-entities の機能を適切に設定していないため、外部エンティティが拡張される可能性があることが、判明しました。RESTEasy エンドポイントに XML リクエストを送信できるリモートの攻撃者が、この欠陥を利用して、アプリケーションサーバーを実行しているユーザーがアクセスできるファイルを読み取り、より高度な別の XML eXternal Entity（XXE）攻撃をさらに仕掛ける可能性があります。
    (CVE-2014-7839)

    ロールベースアクセスコントロール（RBAC）の実装が、特定の管理アクションを行うためにメンテナーの役割を必要としているすべての承認条件を、充分に検証していないことが判明しました。
    メンテナーロールを持つ認証されたユーザーが、この欠陥を利用して、制限された属性とその値のセットを追加、変更、または定義解除する可能性があります。これは他の方法では書き込みできません。CVE-2014-7849

    JBoss Application Server（WildFly）の JacORB サブシステムが、security-domain 属性の socket-binding-ref 秘密度分類を間違って割り当てていることが判明しました。認証されたユーザーが、その役割で security-domain-ref ではなく socket-binding-ref の秘密度分類がある属性にアクセスできる場合、この欠陥を利用して、 security-domain 属性に存在する機密情報にアクセスする可能性があります。
    (CVE-2014-7853)

    org.jboss.security.plugins.mapping.JBossMappingManager の実装が、未定義のセキュリティドメインを処理する際に、使用できる場合にデフォルトのセキュリティドメインに戻ることが見つかりました。定義されたデフォルトのドメインで認証情報が有効であり、想定されるアプリケーションドメインでその役割が有効な場合に、ユーザーが、他の場合には不可能な、アクションを実行する可能性があります。SAML2 STS Login モジュールを使用する際、コンテキストの定義時にハードコードされたデフォルト値を使用する PicketLink Trust SecurityActions 実装により、JBossMappingManager がこの問題を露呈していました。CVE-2014-7827

    スレッドローカルな変数に保存されているカンバセ―ション状態の情報が、特定の状況でカンバセ―ションの終了時に正しくサニタイズされていないことが判明しました。これにより競合状態が発生し、以前の会話から現在の会話への機密情報が漏洩する可能性があります。CVE-2014-8122

    Red Hat は、CVE-2014-8122 の問題を報告してくれた JProfessionals の Rune Steinseth 氏に感謝の意を表します。CVE-2014-7849 と CVE-2014-7853 の問題は Red Hat JBoss Enterprise アプリケーションプラットフォームチームの Darran Lofthouse 氏により、 CVE-2014-7827 の問題は Red Hat 品質エンジニアリングチームの Ondra Lukas 氏により発見されました。

    このリリースは、Red Hat JBoss Enterprise Application Platform 6.3.2 を置き換え、バグ修正と拡張機能が含まれています。
    これらの変更についてのドキュメントは、「参照」セクションのリンクから入手できます。

    Red Hat Enterprise Linux 6 の Red Hat JBoss Enterprise Application Platform 6.3 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。
    この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:0218 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    已发现 RESTEasy DocumentProvider 未正确设置 external-parameter-entities 和 external-general-entities 功能，因此允许外部实体扩展。能够向 RESTEasy 端点发送 XML 请求的远程攻击者可利用此缺陷读取运行应用程序服务器的用户可访问的文件，并可发动其他更高级的 XML 外部实体 (XXE) 攻击。
    (CVE-2014-7839)

    已发现基于角色的访问控制 (RBAC) 实现未充分验证维护人员角色执行某些管理操作时所需的全部授权条件。
    具有维护者角色的经身份验证的用户可利用此缺陷添加、修改或取消定义一组有限的属性及其值否则无法对其进行写入。 (CVE-2014-7849)

    已发现 JBoss 应用程序服务器 (WildFly) JacORB 子系统未针对 security-domain 属性正确分配 socket-binding-ref 灵敏度分类。对于具有 socket-binding-ref 灵敏度分类而没有 security-domain-ref 灵敏度分类的属性，若经认证的用户角色对该属性具有访问权限，则可使用此缺陷访问 security-domain 属性中存在的敏感信息。
    (CVE-2014-7853)

    已发现在处理未定义的安全域时，org.jboss.security.plugins.mapping.JBossMappingManager 实现会后退到默认安全域（如果可用）。如果用户具备定义的默认域中的有效凭据，同时具备在预期应用程序域中有效的角色，则可执行他们原本无法执行的操作。使用 SAML2 STS 登录模块时JBossMappingManager 暴露此问题原因是 PicketLink Trust SecurityActions 实现在定义上下文时使用硬编码的默认值。 (CVE-2014-7827)

    已发现在特定条件下，当结束对话时，未正确审查线程本地变量中存储的对话状态信息。这可能会造成争用条件可能将上一个对话中的敏感信息暴露到当前对话中。 (CVE-2014-8122)

    Red Hat 在此感谢 JProfessionals 的 Rune Steinseth 报告 CVE-2014-8122 问题。CVE-2014-7849 和 CVE-2014-7853 问题是 Red Hat JBoss 企业应用程序平台团队的 Darran Lofthouse 发现的，CVE-2014-7827 问题是 Red Hat 质量工程团队的 Ondra Lukas 发现的。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.3.2，并包含缺陷补丁和多项增强。
    可从“参考”部分中的链接获取这些更改的相关文档。

    建议 Red Hat Enterprise Linux 6 上 Red Hat JBoss Enterprise Application Platform 6.3 的所有用户都升级到这些更新后的程序包。
    必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2015:0217 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    據發現，RESTEasy DocumentProvider 並未正確設定 external-parameter-entities 和 external-general-entities 功能，進而允許外部實體擴充。遠端攻擊者若能傳送 XML 要求至 RESTEasy 端點，就可利用此瑕疵，讀取執行應用程式伺服器的使用者可存取的檔案，且可能發動其他更進階的 XML 外部實體 (XXE) 攻擊。
    (CVE-2014-7839)

    據發現，角色型存取控制 (RBAC) 實作並未充分驗證維護者角色執行特定管理動作所需的所有授權條件。
    經驗證的維護者角色使用者可利用此瑕疵新增、修改或取消定義一組有限的屬性及其值而這些屬性原本是無法寫入的。 (CVE-2014-7849)

    據發現，JBoss Application Server (WildFly) JacORB 子系統為安全性網域屬性指派的 socket-binding-ref 敏感度分類有錯誤。經驗證的使用者的角色若可存取具有 socket-binding-ref 而非 security-domain-ref 敏感度分類的屬性，就能利用此瑕疵來存取安全性網域屬性中存在的敏感資訊。
    (CVE-2014-7853)

    據發現，處理未定義的安全性網域時，org.jboss.security.plugins.mapping.JBossMappingManager 實作會回復成預設的安全性網域 (若可用)。若使用者在已定義的預設網域中具備有效認證，且在預期的應用程式網域中具備有效的角色，就可執行其原來無法使用的動作。使用 SAML2 STS 登入模組時JBossMappingManager 出現此問題因為 PicketLink Trust SecurityActions 實作在定義內容時使用硬式編碼預設值。 (CVE-2014-7827)

    據發現，在特定情況下，交談結束時 thread-local 變數中儲存的交談狀態資訊並未正確清理。這可導致爭用情形可能將敏感資訊從先前的交談洩漏至目前的交談。 (CVE-2014-8122)

    Red Hat 要感謝 JProfessionals 的 Rune Steinseth 報告 CVE-2014-8122 問題。CVE-2014-7849 和 CVE-2014-7853 問題的發現者為 Red Hat JBoss Enterprise Application Platform 團隊的 Darran Lofthouse，而 CVE-2014-7827 問題的發現者則是 Red Hat 品質工程團隊的 Ondra Lukas。

    此版本將作為 Red Hat JBoss Enterprise Application Platform 6.3.2 的取代套件，其中包含錯誤修正和增強功能。
    這些變更的相關文件可從〈參照〉一節中的連結取得。

    建議所有在 Red Hat Enterprise Linux 6 中使用 Red Hat JBoss Enterprise Application Platform 6.3 的使用者皆升級至這些更新版套件。
    必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2015:0216 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    據發現，RESTEasy DocumentProvider 並未正確設定 external-parameter-entities 和 external-general-entities 功能，進而允許外部實體擴充。遠端攻擊者若能傳送 XML 要求至 RESTEasy 端點，就可利用此瑕疵，讀取執行應用程式伺服器的使用者可存取的檔案，且可能發動其他更進階的 XML 外部實體 (XXE) 攻擊。
    (CVE-2014-7839)

    據發現，角色型存取控制 (RBAC) 實作並未充分驗證維護者角色執行特定管理動作所需的所有授權條件。
    經驗證的維護者角色使用者可利用此瑕疵新增、修改或取消定義一組有限的屬性及其值而這些屬性原本是無法寫入的。 (CVE-2014-7849)

    據發現，JBoss Application Server (WildFly) JacORB 子系統為安全性網域屬性指派的 socket-binding-ref 敏感度分類有錯誤。經驗證的使用者的角色若可存取具有 socket-binding-ref 而非 security-domain-ref 敏感度分類的屬性，就能利用此瑕疵來存取安全性網域屬性中存在的敏感資訊。
    (CVE-2014-7853)

    據發現，處理未定義的安全性網域時，org.jboss.security.plugins.mapping.JBossMappingManager 實作會回復成預設的安全性網域 (若可用)。若使用者在已定義的預設網域中具備有效認證，且在預期的應用程式網域中具備有效的角色，就可執行其原來無法使用的動作。使用 SAML2 STS 登入模組時JBossMappingManager 出現此問題因為 PicketLink Trust SecurityActions 實作在定義內容時使用硬式編碼預設值。 (CVE-2014-7827)

    據發現，在特定情況下，交談結束時 thread-local 變數中儲存的交談狀態資訊並未正確清理。這可導致爭用情形可能將敏感資訊從先前的交談洩漏至目前的交談。 (CVE-2014-8122)

    Red Hat 要感謝 JProfessionals 的 Rune Steinseth 報告 CVE-2014-8122 問題。CVE-2014-7849 和 CVE-2014-7853 問題的發現者為 Red Hat JBoss Enterprise Application Platform 團隊的 Darran Lofthouse，而 CVE-2014-7827 問題的發現者則是 Red Hat 品質工程團隊的 Ondra Lukas。

    此版本將作為 Red Hat JBoss Enterprise Application Platform 6.3.2 的取代套件，其中包含錯誤修正和增強功能。
    這些變更的相關文件可從〈參照〉一節中的連結取得。

    建議所有在 Red Hat Enterprise Linux 6 中使用 Red Hat JBoss Enterprise Application Platform 6.3 的使用者皆升級至這些更新版套件。
    必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
81339	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.3.3 update (Moderate) (RHSA-2015:0216)	Nessus	Red Hat Local Security Checks	2015/2/13	2025/4/29	medium
81340	RHEL 6 : Red Hat JBoss Enterprise Application Platform 6.3.3 update (Moderate) (RHSA-2015:0217)	Nessus	Red Hat Local Security Checks	2015/2/13	2025/4/29	medium
85714	RHEL 7Red Hat JBoss Enterprise Application Platform 6.3.3 更新 (中等) (RHSA-2015:0218)	Nessus	Red Hat Local Security Checks	2015/9/1	2025/4/29	medium
81340	RHEL 6Red Hat JBoss Enterprise Application Platform 6.3.3 更新中等(RHSA-2015:0217)	Nessus	Red Hat Local Security Checks	2015/2/13	2025/4/29	medium
81339	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.3.3 更新（中危）(RHSA-2015:0216)	Nessus	Red Hat Local Security Checks	2015/2/13	2025/4/29	medium
85714	RHEL 7 : Red Hat JBoss Enterprise Application Platform 6.3.3 update (Moderate) (RHSA-2015:0218)	Nessus	Red Hat Local Security Checks	2015/9/1	2025/4/29	medium
81339	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.3.3 の更新 (重要度中) (RHSA-2015:0216)	Nessus	Red Hat Local Security Checks	2015/2/13	2025/4/29	medium
85714	RHEL 7Red Hat JBoss Enterprise Application Platform 6.3.3 更新重要度中RHSA-2015:0218	Nessus	Red Hat Local Security Checks	2015/9/1	2025/4/29	medium
81340	RHEL 6Red Hat JBoss Enterprise Application Platform 6.3.3 更新重要度中RHSA-2015:0217	Nessus	Red Hat Local Security Checks	2015/2/13	2025/4/29	medium
85714	RHEL 7Red Hat JBoss Enterprise Application Platform 6.3.3 更新中等(RHSA-2015:0218)	Nessus	Red Hat Local Security Checks	2015/9/1	2025/4/29	medium
81340	RHEL 6Red Hat JBoss Enterprise Application Platform 6.3.3 更新 (中等) (RHSA-2015:0217)	Nessus	Red Hat Local Security Checks	2015/2/13	2025/4/29	medium
81339	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.3.3 更新 (中等) (RHSA-2015:0216)	Nessus	Red Hat Local Security Checks	2015/2/13	2025/4/29	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium