更新后的 JBoss Enterprise Application Platform 6.0.1 程序包修复了多种安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.0，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.0.1 发行说明，具体内容短期内将于 https://access.redhat.com/knowledge/docs/ 中提供

此更新删除了未使用的已签名 JAR；从 JAR MANIFEST.MF 文件删除未使用的 SHA1 校验和以减少服务器内存占用；将 MANIFEST.MF 添加到之前缺失它的 JAR 文件；并从主程序包删除冗余 Javadoc 文件。(BZ#830291)

安全补丁：

Apache CXF 检查确认已通过支持的标记签名或加密 XML 元素，而不管是否使用正确的标记。远程攻击者可传输无适当安全性的机密信息，并可能避开对通过 Apache CXF 暴露的 Web 服务的访问控制。(CVE-2012-2379)

当使用基于角色的授权配置 EJB 访问时，应使用 JACC 权限确定访问；但是，由于存在缺陷，未调用所配置的授权模块（JACC、XACML 等），且未使用 JACC 权限确定对 EJB 的访问。(CVE-2012-4550)

在 Apache CXF 强制执行客户端上 WS-SecurityPolicy 1.1 的子策略的方式中发现的缺陷，在某些情况下，可能导致客户端无法签名或加密安全策略定向的某些元素，从而引起信息泄露和不安全的信息传输。(CVE-2012-2378)

当配置为“allow-multiple-users”时，在 IronJacamar 认证凭据和返回有效数据源连接的方式中发现一个缺陷。提供正确主题的远程攻击者可获取可能属于特权用户的数据源连接。(CVE-2012-3428)

已发现在某些情况下 Apache CXF 容易遭受 SOAPAction 欺骗攻击。请注意，需对被调用的操作执行 WS 策略验证，攻击必须通过验证才能成功。(CVE-2012-3451)

当不存在 EJB 方法调用的允许角色时，应拒绝所有用户调用。已发现当允许角色列表为空时，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法未正确授权进行所有方法调用。(CVE-2012-4549)

已发现在应用程序启动过程中可用的 Mojarra 中的 FacesContext 保留在 ThreadLocal 中。未正确地在所有案例中清除引用。因此，如果 JavaServer Faces (JSF) WAR 在应用程序启动过程中调用 FacesContext.getCurrentInstance()，其他 WAR 可访问剩余上下文，并因此获得访问其他 WAR 资源的权限。本地攻击者可利用此缺陷，使用特别构建的部署应用程序访问其他 WAR 资源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

Red Hat 在此感谢 Apache CXF 项目报告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 问题由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现； CVE-2012-3428 和 CVE-2012-4549 由 Red Hat 安全响应小组的 Arun Neelicattu 发现； CVE-2012-2672 由 Red Hat 的 Marek Schmidt 和 Stan Silvert 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

更新后的 JBoss Enterprise Application Platform 6.0.1 程序包修复了多种安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.0，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.0.1 发行说明，具体内容短期内将于 https://access.redhat.com/knowledge/docs/ 中提供

此更新删除了未使用的已签名 JAR；从 JAR MANIFEST.MF 文件删除未使用的 SHA1 校验和以减少服务器内存占用；将 MANIFEST.MF 添加到之前缺失它的 JAR 文件；并从主程序包删除冗余 Javadoc 文件。(BZ#853551)

安全补丁：

Apache CXF 检查确认已通过支持的标记签名或加密 XML 元素，而不管是否使用正确的标记。远程攻击者可传输无适当安全性的机密信息，并可能避开对通过 Apache CXF 暴露的 Web 服务的访问控制。(CVE-2012-2379)

当使用基于角色的授权配置 EJB 访问时，应使用 JACC 权限确定访问；但是，由于存在缺陷，未调用所配置的授权模块（JACC、XACML 等），且未使用 JACC 权限确定对 EJB 的访问。(CVE-2012-4550)

在 Apache CXF 强制执行客户端上 WS-SecurityPolicy 1.1 的子策略的方式中发现的缺陷，在某些情况下，可能导致客户端无法签名或加密安全策略定向的某些元素，从而引起信息泄露和不安全的信息传输。(CVE-2012-2378)

当配置为“allow-multiple-users”时，在 IronJacamar 认证凭据和返回有效数据源连接的方式中发现一个缺陷。提供正确主题的远程攻击者可获取可能属于特权用户的数据源连接。(CVE-2012-3428)

已发现在某些情况下 Apache CXF 容易遭受 SOAPAction 欺骗攻击。请注意，需对被调用的操作执行 WS 策略验证，攻击必须通过验证才能成功。(CVE-2012-3451)

当不存在 EJB 方法调用的允许角色时，应拒绝所有用户调用。已发现当允许角色列表为空时，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法未正确授权进行所有方法调用。(CVE-2012-4549)

已发现在应用程序启动过程中可用的 Mojarra 中的 FacesContext 保留在 ThreadLocal 中。未正确地在所有案例中清除引用。因此，如果 JavaServer Faces (JSF) WAR 在应用程序启动过程中调用 FacesContext.getCurrentInstance()，其他 WAR 可访问剩余上下文，并因此获得访问其他 WAR 资源的权限。本地攻击者可利用此缺陷，使用特别构建的部署应用程序访问其他 WAR 资源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

Red Hat 在此感谢 Apache CXF 项目报告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 问题由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现； CVE-2012-3428 和 CVE-2012-4549 由 Red Hat 安全响应小组的 Arun Neelicattu 发现； CVE-2012-2672 由 Red Hat 的 Marek Schmidt 和 Stan Silvert 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
64072	RHEL 6：JBoss EAP (RHSA-2012:1592)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64071	RHEL 5：JBoss EAP (RHSA-2012:1591)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical

检测

插件搜索

critical

critical