更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 7.1。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。此 Red Hat JBoss Enterprise Application Platform 7.1.4 版本可替换 Red Hat JBoss Enterprise Application Platform 7.1.3，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* guava：在 AtomicDoubleArray 和 CompoundOrdering 类中不受限制的内存分配允许远程攻击者造成拒绝服务 (CVE-2018-10237) * bouncycastle：RSA 密钥对生成器的低级接口中的缺陷 (CVE-2018-1000180) * cxf：未正确验证 JAX-WS 和 JAX-RS 服务的消息附件标头的大小 (CVE-2017-12624) * wildfly: wildfly-core：路径遍历能导致 .war 存档提取以写入任意文件 (CVE-2018-10862) * cxf-core: apache-cxf：TLS 主机名验证未正确处理 com.sun.net.ssl。*(CVE-2018-8039) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2019 年 1 月关键修补程序更新 (CPU) 的安全修补程序。因此，该应用程序受到多个漏洞的影响。

FasterXML jackson-databind 2.9.7 之前的版本 2.x 可允许远程攻击者利用无法封锁来自多型反序列化的 slf4j-ext 类，执行任意代码。(CVE-2018-14718)

Bouncy Castle BC 1.54 - 1.59、BC-FJA 1.0.0、BC-FJA 1.0.1 及之前版本在 RSA 密钥组生成器的低层级接口中存在缺陷，具体而言，在低层级 API 中产生的 RSA 密钥组具有更高的确定性，所需要的 M-R 测试可能比预期更少。这似乎已在 BC 1.60 beta 4 版和更新版本，以及 BC-FJA 1.0.2 版和更新版本中修复。(CVE-2018-1000180)

Oracle Fusion Middleware 的 Oracle WebCenter Portal 组件中存在漏洞（子组件：WebCenter Spaces 应用程序）。支持的版本中受影响的是 11.1.1.9.0 和 12.2.1.3.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除某些 Oracle WebCenter Portal 可访问数据的访问权限。(CVE-2019-2427)

加密算法的 Java 实现 Bouncy Castle 中发现，RSA 密钥对生成器的低级接口执行的 Miller-Rabin 素性测试次数可能少于预期。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Bouncy Castle BC 1.54 - 1.59、BC-FJA 1.0.0、BC-FJA 1.0.1 和更早版本在 RSA 密钥对生成器的低层级接口中存在一个缺陷尤其是在添加了 的低层级 API 中生成的 RSA 密钥对确定性的 MR 测试数量可能比预期少。这似乎已在 BC 1.60 beta 4 版和更新版本，以及 BC-FJA 1.0.2 版和更新版本中修复。(CVE-2018-1000180)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2018:2424 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.1.4 版本可替换 Red Hat JBoss Enterprise Application Platform 7.1.3，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。

    安全修复：

    * guava：在 AtomicDoubleArray 和 CompoundOrdering 类中不受限制的内存分配允许远程攻击者造成拒绝服务 (CVE-2018-10237)

    * bouncycastleRSA 密钥对生成器的低级接口中的缺陷CVE-2018-1000180

    * cxfJAX-WS 和 JAX-RS 服务的消息附件标头中错误的大小验证 (CVE-2017-12624)

    * wildflywildfly-core路径遍历可允许提取 .war 存档以写入任意文件 (CVE-2018-10862)

    * cxf-coreapache-cxfTLS 主机名验证无法正确用于 com.sun.net.ssl。* (CVE-2018-8039)

    有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

rhvm-appliance 的更新现在可用于 Red Hat Enterprise Linux 7 的 Red Hat Virtualization 4。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。RHV-M Virtual Appliance 可自动化 Red Hat Virtualization Manager 的安装和配置过程。可从客户门户网站中，下载此设备为 OVA 文件。下列程序包已升级到更高的上游版本：rhvm-appliance (4.2)。(BZ#1590658, BZ#1591095, BZ#1591096, BZ#1592655, BZ# 1594636, BZ#1597534, BZ#1612683) Red Hat 在此感谢 PostgreSQL 项目报告 CVE-2018-10915 以及 Ammarit Thongthua (Deloitte Thailand Pentest team) 和 Nattakit Intarasorn (Deloitte Thailand Pentest team) 报告 CVE-2018-1067。上游感谢 CVE-2018-10915 的原始报告者 Andrew Krasichkov。安全修复：* 漏洞：wildfly-core：路径遍历能导致 .war 存档提取以写入任意文件 (Zip Slip) (CVE-2018-10862) * 漏洞：apache-cxf：TLS 主机名验证未正确处理 com.sun.net.ssl。*(CVE-2018-8039) * 漏洞：postgresql：某些主机连接参数突破客户端安全防御 (CVE-2018-10915) * 漏洞：undertow：使用带有 UTF-8 编码的 CRLF 进行 HTTP 标头注入（不完全修复）(CVE-2018-1067, CVE-2016-4993) * 漏洞：undertow：由 JarURLConnection.getLastModified() 导致的文件描述符泄露允许攻击者造成拒绝服务 (CVE-2018-1114) * 漏洞：guava：在 AtomicDoubleArray 和 CompoundOrdering 类中不受限制的内存分配允许远程攻击者造成拒绝服务 (CVE-2018-10237) * 漏洞：bouncycastle：RSA 密钥对生成器的低级接口中的缺陷 (CVE-2018-1000180) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程主机上安装的 Oracle WebLogic 服务器版本受到多个漏洞的影响：- 在 Apache Derby 10.12.1.1 之前的版本中，SqlXmlUtil 代码内的 XML 外部实体 (XXE) 漏洞在 Java Security Manager 未备妥时，可让环境相关的攻击者通过与 XmlVTI 和 XML 数据类型相关的向量，读取任意文件或造成拒绝服务（资源消耗）。(CVE-2015-1832) - Bouncy Castle BC 1.54 - 1.59、BC-FJA 1.0.0、BC-FJA 1.0.1 及之前版本在 RSA 密钥组生成器的低层级接口中存在缺陷，具体而言，在低层级 API 中产生的 RSA 密钥组具有更高的确定性，所需要的 M-R 测试可能比预期更少。这似乎已在 BC 1.60 beta 4 版和更新版本，以及 BC-FJA 1.0.2 版和更新版本中修复。CVE-2018-1000180 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS Core 组件）。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的高特权攻击者通过 HTTP 危害 Oracle WebLogic Server。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改对关键数据或所有 Oracle WebLogic Server 可访问数据的访问权限，以及对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 挂起，或频繁出现崩溃（完全 DOS）。CVE-2019-2452 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS Core 组件）。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。难以利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 T3 危害 Oracle WebLogic Server。虽然该漏洞是在 Oracle WebLogic Server 中，但攻击也会对附加产品造成巨大影响。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle WebLogic Server 可访问数据的访问权限，以及对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 部分拒绝服务（部分 DOS）。CVE-2019-2418 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS - Web 服务）。支持的版本中受影响的是 10.3.6.0。可轻易遭到利用的漏洞，允许具有网络访问权的低特权攻击者通过 HTTP 危害 Oracle WebLogic 服务器。成功攻击此漏洞可导致对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 部分拒绝服务（部分 DOS）。CVE-2019-2395 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件（子组件：应用程序容器 - JavaEE）中有漏洞。支持的版本中受影响的是 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。此漏洞的成功攻击能导致 Oracle WebLogic 服务器可访问数据子集的未授权读取访问。CVE-2019-2441 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件（子组件：WLS - 部署）中有漏洞。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的低特权攻击者通过 HTTP 危害 Oracle WebLogic 服务器。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle WebLogic Server 可访问数据的访问权限。(CVE-2019-2398) - Legion of the Bouncy Castle Java Cryptography API 1.60 之前的版本受到 CWE-470 的影响：在 XMSS/XMSS^MT 私钥反序列化例程中存在使用外部控制的输入选取类或代码（“非安全反射”）的缺陷。这可让攻击者强制执行任意代码。成功的攻击可通过使用特制的私钥对象，并参考允许恶意命令执行的非预期类进行。CVE-2018-1000613 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS - Web 服务）。受影响的支持版本为 12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。此漏洞的成功攻击能导致关键数据的未授权访问或所有 Oracle WebLogic 服务器可访问数据的完全访问。(CVE-2018-3246) - 在 Apache Derby 10.3.1.4 到 10.14.1.0 中，可使用特制的网络数据包请求 Derby Network Server 启动其位置和内容处于用户掌控之下的数据库。如果 Derby Network Server 未使用 Java Security Manager 策略文件执行，则攻击会成功。如果服务器要使用策略文件，该策略文件必须允许读取数据库位置，攻击才能起作用。与受影响的版本一同分发的默认 Derby Network Server 策略文件包括一个宽松策略，该策略会作为默认 Network Server 策略，可让攻击起作用。(CVE-2018-1313)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112029	RHEL 6：JBoss EAP (RHSA-2018:2423)	Nessus	Red Hat Local Security Checks	2018/8/21	2025/4/29	high
121347	Oracle WebCenter Portal 多个漏洞（2019 年 1 月 CPU）	Nessus	Misc.	2019/1/24	2025/7/24	critical
110665	Debian DSA-4233-1：bouncycastle - 安全更新	Nessus	Debian Local Security Checks	2018/6/25	2024/9/17	high
252722	Linux Distros 未修补的漏洞：CVE-2018-1000180	Nessus	Misc.	2025/8/20	2025/8/20	high
112030	RHEL 7RHEL7 中的 Red Hat JBoss Enterprise Application Platform 7.1.4 (RHSA-2018:2424)	Nessus	Red Hat Local Security Checks	2018/8/21	2025/4/29	high
117324	RHEL 7：Virtualization (RHSA-2018:2643)	Nessus	Red Hat Local Security Checks	2018/9/6	2025/4/29	high
121226	Oracle WebLogic Server Multiple Vulnerabilities (January 2019 CPU)	Nessus	Misc.	2019/1/17	2022/12/5	critical

检测

插件搜索

high

critical

high

high

high

high

critical