There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The serialization implementation in JBoss Drools in Red Hat JBoss Enterprise Application Platform (aka
    JBoss EAP or JBEAP) 4.3 before 4.3.0.CP09 and JBoss Enterprise SOA Platform 4.2 and 4.3 supports the
    embedding of class files, which allows remote attackers to execute arbitrary code via a crafted static
    initializer. (CVE-2010-3708)

現已提供適用於 Red Hat Enterprise Linux 5 之 JBEAP 4.3.0.CP09 的更新版 JBoss Enterprise Application Platform (JBEAP) 4.3 套件，可修正三個安全性問題和多個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 是一個適用於創新與可擴充之 Java 應用程式的業界領先平台；將 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 整合成一個完整、簡單的企業解決方案。

此適用於 Red Hat Enterprise Linux 5 的 JBEAP 版本是 JBEAP 4.3.0.CP08 的替代版本。

這些更新版套件包含多個錯誤修正 (如版本資訊所述)。版本資訊近期將可從＜參照＞一節的連結中取得。

此版本也已修正以下安全性問題：

在 JBoss Drools 實作特定規則型序列化的方式中，發現一個輸入清理瑕疵。如果遠端攻擊者提供特製的輸入至可接受序列化輸入之 JBoss Seam 型應用程式，可導致以 JBoss 伺服器處理程序的權限執行任意程式碼。
(CVE-2010-3708)

在 JMX 主控台中發現一個跨網站要求偽造 (CSRF) 瑕疵。
如果遠端攻擊者能誘騙使用者 (以管理員使用者的身份登入 JMX 主控台) 造訪特製的網頁，便可利用此瑕疵將其所選擇的 WAR 檔案部署至目標伺服器。(CVE-2010-3878)

在 JBoss Remoting 元件中發現一個瑕疵。遠端攻擊者可利用特製的輸入導致 JBoss Remoting 接聽程式變得沒有回應，進而對透過 JBoss Remoting 通訊端進行通訊的服務造成拒絕服務的情況。
(CVE-2010-3862)

Red Hat 要感謝 eXerp.com 的 Ole Husgaard 報告 CVE-2010-3862 問題。

警告：套用此更新之前，請先備份 JBEAP 「server/[configuration]/deploy/」目錄，以及任何其他自訂的組態檔。

建議 Red Hat Enterprise Linux 5 上的所有 JBEAP 4.3 使用者皆升級至這些更新版套件。

更新后的 JBoss Enterprise Application Platform (JBEAP) 4.3 程序包修复了三个安全问题和多个缺陷，现已如 JBEAP 4.3.0.CP09 一样可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 5 的此版本 JBEAP 可替代 JBEAP 4.3.0.CP08。

这些更新后的程序包包含多个缺陷补丁，其详细说明可从发行说明中找到。很快将可通过“参考”部分的链接获得发行说明。

此版本还修复了以下安全问题：

发现 JBoss Drools 实现某些规则库序列化的方式存在输入审查缺陷。如果远程攻击者向接受序列化输入的基于 JBoss Seam 的应用程序提供特别构建的输入，可能导致以 JBoss 服务器进程的权限执行任意代码。
(CVE-2010-3708)

在 JMX 控制台中发现一个跨站请求伪造 (CSRF) 缺陷。
如果远程攻击者能够诱骗以 admin 用户身份登录 JMX 控制台的用户访问特别构建的网页，即可利用该缺陷在目标服务器上部署他们所选择的 WAR 文件。(CVE-2010-3878)

发现 JBoss Remoting 组件中存在缺陷。远程攻击者可利用特别构建的输入造成 JBoss Remoting 监听器失去响应，从而导致通过 JBoss Remoting 套接字通信的服务出现拒绝服务的情况。
(CVE-2010-3862)

Red Hat 在此感谢 eXerp.com 的 Ole Husgaard 报告 CVE-2010-3862 问题。

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 5 上的所有 JBEAP 4.3 用户升级这些更新后的程序包。

現已提供適用於 Red Hat Enterprise Linux 4 之 JBEAP 4.3.0.CP09 的更新版 JBoss Enterprise Application Platform (JBEAP) 4.3 套件，可修正三個安全性問題和多個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 是一個適用於創新與可擴充之 Java 應用程式的業界領先平台；將 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 整合成一個完整、簡單的企業解決方案。

此適用於 Red Hat Enterprise Linux 4 的 JBEAP 版本是 JBEAP 4.3.0.CP08 的替代版本。

這些更新版套件包含多個錯誤修正 (如版本資訊所述)。版本資訊近期將可從＜參照＞一節的連結中取得。

此版本也已修正以下安全性問題：

在 JBoss Drools 實作特定規則型序列化的方式中，發現一個輸入清理瑕疵。如果遠端攻擊者提供特製的輸入至可接受序列化輸入之 JBoss Seam 型應用程式，可導致以 JBoss 伺服器處理程序的權限執行任意程式碼。
(CVE-2010-3708)

在 JMX 主控台中發現一個跨網站要求偽造 (CSRF) 瑕疵。
如果遠端攻擊者能誘騙使用者 (以管理員使用者的身份登入 JMX 主控台) 造訪特製的網頁，便可利用此瑕疵將其所選擇的 WAR 檔案部署至目標伺服器。(CVE-2010-3878)

在 JBoss Remoting 元件中發現一個瑕疵。遠端攻擊者可利用特製的輸入導致 JBoss Remoting 接聽程式變得沒有回應，進而對透過 JBoss Remoting 通訊端進行通訊的服務造成拒絕服務的情況。
(CVE-2010-3862)

Red Hat 要感謝 eXerp.com 的 Ole Husgaard 報告 CVE-2010-3862 問題。

警告：套用此更新之前，請先備份 JBEAP 「server/[configuration]/deploy/」目錄，以及任何其他自訂的組態檔。

建議 Red Hat Enterprise Linux 4 上的所有 JBEAP 4.3 使用者皆升級至這些更新版套件。

更新后的 JBoss Enterprise Application Platform (JBEAP) 4.3 程序包修复了三个安全问题和多个缺陷，现已如 JBEAP 4.3.0.CP09 一样可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 4 的此版本 JBEAP 可替代 JBEAP 4.3.0.CP08。

这些更新后的程序包包含多个缺陷补丁，其详细说明可从发行说明中找到。很快将可通过“参考”部分的链接获得发行说明。

此版本还修复了以下安全问题：

发现 JBoss Drools 实现某些规则库序列化的方式存在输入审查缺陷。如果远程攻击者向接受序列化输入的基于 JBoss Seam 的应用程序提供特别构建的输入，可能导致以 JBoss 服务器进程的权限执行任意代码。
(CVE-2010-3708)

在 JMX 控制台中发现一个跨站请求伪造 (CSRF) 缺陷。
如果远程攻击者能够诱骗以 admin 用户身份登录 JMX 控制台的用户访问特别构建的网页，即可利用该缺陷在目标服务器上部署他们所选择的 WAR 文件。(CVE-2010-3878)

发现 JBoss Remoting 组件中存在缺陷。远程攻击者可利用特别构建的输入造成 JBoss Remoting 监听器失去响应，从而导致通过 JBoss Remoting 套接字通信的服务出现拒绝服务的情况。
(CVE-2010-3862)

Red Hat 在此感谢 eXerp.com 的 Ole Husgaard 报告 CVE-2010-3862 问题。

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 4 上的所有 JBEAP 4.3 用户升级这些更新后的程序包。

3 つのセキュリティ問題と複数のバグが修正される更新済みの JBoss Enterprise Application Platform（JBEAP）4.3 パッケージが、JBEAP 4.3.0 CP09 として Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 4 の JBEAP のリリースは、 JBEAP 4.3.0.CP08 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JBoss Drools が特定のルールベースのシリアル化を実装する方法に、入力サニタイズの欠陥が見つかりました。リモートの攻撃者がシリアル化された入力を承認する JBoss Seam ベースのアプリケーションに、特別に細工された入力を送り込むと、JBoss サーバープロセスの権限で任意のコードが実行されることがあります。
(CVE-2010-3708)

JMX Console に、クロスサイトリクエスト偽造（CSRF）の欠陥が見つかりました。
リモートの攻撃者は管理者ユーザーとして JMX コンソールにログインしているユーザーを騙して、特別に細工された Web ページにアクセスさせることができれば、この欠陥を利用して、ターゲットのサーバーで任意の WAR ファイルを展開できます。(CVE-2010-3878)

JBoss Remoting コンポーネントに、欠陥が見つかりました。リモートの攻撃者は特別に細工された入力を使用して、JBoss Remoting リスナーの応答を停止させることができ、JBoss Remoting ソケットからのサービス通信に対してサービス拒否状態に導くことが可能です。
(CVE-2010-3862)

Red Hat は、CVE-2010-3862 の問題を報告してくれた、 eXerp.com の Ole Husgaard 氏に感謝の意を表します。

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 4 上の JBEAP 4.3 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

3 つのセキュリティ問題と複数のバグが修正される更新済みの JBoss Enterprise Application Platform（JBEAP）4.3 パッケージが、JBEAP 4.3.0 CP09 として Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform は、革新的かつスケーラブルな Java アプリケーション用の市場をリードするプラットフォームです。 JBoss Hibernate および JBoss Seam と JBoss Application Server を完全かつシンプルなエンタープライズソリューションに統合しています。

Red Hat Enterprise Linux 5 の JBEAP のリリースは、 JBEAP 4.3.0.CP08 への置き換えとして機能します。

これらの更新パッケージには、リリースノートで詳細に説明されている、複数のバグ修正プログラムが含まれています。リリースノートは間もなく、Reference セクションのリンクからアクセスできるようになります。

このリリースでは、次のセキュリティ問題も修正されます：

JBoss Drools が特定のルールベースのシリアル化を実装する方法に、入力サニタイズの欠陥が見つかりました。リモートの攻撃者がシリアル化された入力を承認する JBoss Seam ベースのアプリケーションに、特別に細工された入力を送り込むと、JBoss サーバープロセスの権限で任意のコードが実行されることがあります。
(CVE-2010-3708)

JMX Console に、クロスサイトリクエスト偽造（CSRF）の欠陥が見つかりました。
リモートの攻撃者は管理者ユーザーとして JMX コンソールにログインしているユーザーを騙して、特別に細工された Web ページにアクセスさせることができれば、この欠陥を利用して、ターゲットのサーバーで任意の WAR ファイルを展開できます。(CVE-2010-3878)

JBoss Remoting コンポーネントに、欠陥が見つかりました。リモートの攻撃者は特別に細工された入力を使用して、JBoss Remoting リスナーの応答を停止させることができ、JBoss Remoting ソケットからのサービス通信に対してサービス拒否状態に導くことが可能です。
(CVE-2010-3862)

Red Hat は、CVE-2010-3862 の問題を報告してくれた、 eXerp.com の Ole Husgaard 氏に感謝の意を表します。

警告：この更新を適用する前に、JBEAP 「server/[configuration]/deploy」ディレクトリ、その他カスタマイズ済みの構成ファイルのバックアップを行ってください。

Red Hat Enterprise Linux 5 上の JBEAP 4.3 の全ユーザーは、これらの更新済みパッケージへアップグレードすることが推奨されます。

Updated JBoss Enterprise Application Platform (JBEAP) 4.3 packages that fix three security issues and multiple bugs are now available for Red Hat Enterprise Linux 4 as JBEAP 4.3.0.CP09.

The Red Hat Security Response Team has rated this update as having important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

JBoss Enterprise Application Platform is the market leading platform for innovative and scalable Java applications; integrating the JBoss Application Server, with JBoss Hibernate and JBoss Seam into a complete, simple enterprise solution.

This release of JBEAP for Red Hat Enterprise Linux 4 serves as a replacement to JBEAP 4.3.0.CP08.

These updated packages include multiple bug fixes which are detailed in the Release Notes. The Release Notes will be available shortly from the link in the References section.

The following security issues are also fixed with this release :

An input sanitization flaw was found in the way JBoss Drools implemented certain rule base serialization. If a remote attacker supplied specially crafted input to a JBoss Seam based application that accepts serialized input, it could lead to arbitrary code execution with the privileges of the JBoss server process.
(CVE-2010-3708)

A Cross-Site Request Forgery (CSRF) flaw was found in the JMX Console.
A remote attacker could use this flaw to deploy a WAR file of their choosing on the target server, if they are able to trick a user, who is logged into the JMX Console as the admin user, into visiting a specially crafted web page. (CVE-2010-3878)

A flaw was found in the JBoss Remoting component. A remote attacker could use specially crafted input to cause the JBoss Remoting listeners to become unresponsive, resulting in a denial of service condition for services communicating via JBoss Remoting sockets.
(CVE-2010-3862)

Red Hat would like to thank Ole Husgaard of eXerp.com for reporting the CVE-2010-3862 issue.

Warning: Before applying this update, please backup the JBEAP 'server/[configuration]/deploy/' directory, and any other customized configuration files.

All users of JBEAP 4.3 on Red Hat Enterprise Linux 4 are advised to upgrade to these updated packages.

The remote Redhat Enterprise Linux 5 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2010:0938 advisory.

    JBoss Enterprise Application Platform is the market leading platform for     innovative and scalable Java applications; integrating the JBoss     Application Server, with JBoss Hibernate and JBoss Seam into a complete,     simple enterprise solution.

    This release of JBEAP for Red Hat Enterprise Linux 5 serves as a     replacement to JBEAP 4.3.0.CP08.

    These updated packages include multiple bug fixes which are detailed in the     Release Notes. The Release Notes will be available shortly from the link in     the References section.

    The following security issues are also fixed with this release:

    An input sanitization flaw was found in the way JBoss Drools implemented     certain rule base serialization. If a remote attacker supplied     specially-crafted input to a JBoss Seam based application that accepts     serialized input, it could lead to arbitrary code execution with the     privileges of the JBoss server process. (CVE-2010-3708)

    A Cross-Site Request Forgery (CSRF) flaw was found in the JMX Console. A     remote attacker could use this flaw to deploy a WAR file of their choosing     on the target server, if they are able to trick a user, who is logged into     the JMX Console as the admin user, into visiting a specially-crafted web     page. (CVE-2010-3878)

    A flaw was found in the JBoss Remoting component. A remote attacker could     use specially-crafted input to cause the JBoss Remoting listeners to become     unresponsive, resulting in a denial of service condition for services     communicating via JBoss Remoting sockets. (CVE-2010-3862)

    Red Hat would like to thank Ole Husgaard of eXerp.com for reporting the     CVE-2010-3862 issue.

    Warning: Before applying this update, please backup the JBEAP     server/[configuration]/deploy/ directory, and any other customized     configuration files.

    All users of JBEAP 4.3 on Red Hat Enterprise Linux 5 are advised to upgrade     to these updated packages.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
418344	SCA: security update for org.drools:drools-core (GHSA-qvq6-cw53-rmwg)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
418344	SCA: security update for org.drools:drools-core (GHSA-qvq6-cw53-rmwg)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
63962	RHEL 5：JBoss EAP (RHSA-2010:0938)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/11/4	high
63962	RHEL 5：JBoss EAP (RHSA-2010:0938)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/11/4	high
63961	RHEL 4：JBoss EAP (RHSA-2010:0937)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63961	RHEL 4：JBoss EAP (RHSA-2010:0937)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63961	RHEL 4：JBoss EAP（RHSA-2010:0937）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63962	RHEL 5：JBoss EAP（RHSA-2010:0938）	Nessus	Red Hat Local Security Checks	2013/1/24	2024/11/4	high
63961	RHEL 4 : JBoss EAP (RHSA-2010:0937)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63962	RHEL 5 : JBoss Enterprise Application Platform 4.3.0.CP09 update (Important) (RHSA-2010:0938)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/11/4	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high