更新后的 JBoss Enterprise Application Platform 6.1.0 程序包修复了三个安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.1，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.1.0 发行说明，具体内容短期内将于以下网址中提供：https://access.redhat.com/site/documentation/

安全补丁：

发现各种框架（包括 Apache CXF）中均存在 XML 加密向后兼容性攻击。攻击者可强制服务器使用不安全的旧版密码系统，即使当端点启用安全加密系统时。通过强制使用旧版加密系统，将暴露 CVE-2011-1096 和 CVE-2011-2487 等缺陷，并允许纯文本通过密文和对称密钥恢复。(CVE-2012-5575)

注意：仅当 WS-SecurityPolicy 用于执行安全要求时，才运行可防止 CVE-2012-5575 的自动检查。使用 WS-SecurityPolicy 执行安全要求为最佳做法。

当 JBoss Web 上运行的应用程序使用 COOKIE 会话跟踪方法时，org.apache.catalina.connector.Response.encodeURL() 方法将在处理第一个会话请求时返回 URL（包含附加为查询字符串参数的 jsessionid）。攻击者可能利用此缺陷，通过执行中间人攻击来获取用户的 jsessionid 并点击劫持其会话，或者从日志文件中提取 jsessionid。请注意，默认未使用任何会话跟踪方法，必须配置一种方法。(CVE-2012-4529)

如果多个应用程序采用同一自定义授权模块类名称，并提供其自有实现，被加载的第一个应用程序会将其实现用于使用同一自定义授权模块类名称的所有其他应用程序。本地攻击者可利用此缺陷部署恶意应用程序，从而提供自定义授权模块实现，并根据攻击者提供的规则允许或禁止用户访问。(CVE-2012-4572)

Red Hat 在此感谢 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 报告 CVE-2012-5575。
CVE-2012-4572 由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

建议 Red Hat Enterprise Linux 6 中的所有 JBoss Enterprise Application Platform 6.0.1 用户升级这些更新后的程序包。
必须重新启动 JBoss 服务器进程才能使更新生效。

更新后的 JBoss Enterprise Application Platform 6.1.0 程序包修复了三个安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.1，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.1.0 发行说明，具体内容短期内将于以下网址中提供：https://access.redhat.com/site/documentation/

安全补丁：

发现各种框架（包括 Apache CXF）中均存在 XML 加密向后兼容性攻击。攻击者可强制服务器使用不安全的旧版密码系统，即使当端点启用安全加密系统时。通过强制使用旧版加密系统，将暴露 CVE-2011-1096 和 CVE-2011-2487 等缺陷，并允许纯文本通过密文和对称密钥恢复。(CVE-2012-5575)

注意：仅当 WS-SecurityPolicy 用于执行安全要求时，才运行可防止 CVE-2012-5575 的自动检查。使用 WS-SecurityPolicy 执行安全要求为最佳做法。

当 JBoss Web 上运行的应用程序使用 COOKIE 会话跟踪方法时，org.apache.catalina.connector.Response.encodeURL() 方法将在处理第一个会话请求时返回 URL（包含附加为查询字符串参数的 jsessionid）。攻击者可能利用此缺陷，通过执行中间人攻击来获取用户的 jsessionid 并点击劫持其会话，或者从日志文件中提取 jsessionid。请注意，默认未使用任何会话跟踪方法，必须配置一种方法。(CVE-2012-4529)

如果多个应用程序采用同一自定义授权模块类名称，并提供其自有实现，被加载的第一个应用程序会将其实现用于使用同一自定义授权模块类名称的所有其他应用程序。本地攻击者可利用此缺陷部署恶意应用程序，从而提供自定义授权模块实现，并根据攻击者提供的规则允许或禁止用户访问。(CVE-2012-4572)

Red Hat 在此感谢 Ruhr-University Bochum 的 Tibor Jager、Kenneth G. Paterson 和 Juraj Somorovsky 报告 CVE-2012-5575。
CVE-2012-4572 由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

建议 Red Hat Enterprise Linux 5 中的所有 JBoss Enterprise Application Platform 6.0.1 用户升级这些更新后的程序包。
必须重新启动 JBoss 服务器进程才能使更新生效。

远程系统上的 JBoss Enterprise Portal Platform 版本受到以下问题的影响：

- JBoss Web 的 CSRF 阻止过滤器中的缺陷可允许远程攻击者通过缺少会话标识符的请求来绕过跨站请求伪造 (CSRF) 保护机制。(CVE-2012-4431)

- 在使用 COOKIE 会话跟踪方法时出现的缺陷，可允许攻击者劫持用户的会话。(CVE-2012-4529)

- 当多个应用程序使用同一个自定义授权模块类名称时出现的缺陷，可允许本地攻击者部署恶意的应用程序（可替代其他应用程序所提供的自定义授权模块）。(CVE-2012-4572)

- 框架在解密之前未验证 WS-SecurityPolicy AlgorithmSuite 定义是否允许特定的加密算法.这可允许远程攻击者强迫系统使用较弱的加密算法而非预期算法，并且更容易对通信进行解码。
 (CVE-2012-5575)

- PicketBox 中的缺陷可允许本地用户通过读取 Vault 数据文件，获取 admin 加密密钥。
 (CVE-2013-1921)

在 FormAuthenticator 模块中发现会话固定缺陷。(CVE-2013-2067)

- 在启动 JGroups 通道时出现的缺陷可导致未经认证即可通过 IP 多播默认启用 JGroups 诊断服务。远程攻击者可利用此缺陷读取诊断信息。(CVE-2013-2102)

- StAX 解析器实现中的缺陷可允许远程攻击者通过构建的 XML 造成拒绝服务。(CVE-2013-2160)

- Apache Santuario XML Security 中的缺陷可允许上下文有关的攻击者通过使用 CanonicalizationMethod 参数，欺骗 XML 签名指定任意弱算法。(CVE-2013-2172)

- JGroup 的 DiagnosticsHandler 中的缺陷可允许远程攻击者通过重新使用有效的凭据，获取敏感信息和执行任意代码。
 (CVE-2013-4112)

- 在通过远程命名将已认证的连接缓存到服务器的方式中存在缺陷，可允许远程攻击者通过使用远程处理客户端劫持会话。(CVE-2013-4128)

- 将 EJB 调用的连接缓存到服务器的方式存在缺陷，可允许远程攻击者通过使用 EJB 客户端劫持会话。
 (CVE-2013-4213)

远程系统上运行的 JBoss Enterprise Application Platform 6.0.1 版本容易受到以下问题的影响：

- 应用程序在使用 COOKIE 会话跟踪方法的 JBoss Web 上运行时可能受到中间人攻击。org.apache.catalina.connector.Response.encodeURL() 方法中存在缺陷。通过利用此缺陷，攻击者可获取用户的 jsessionid 并劫持其会话。
 (CVE-2012-4529)

- 如果多个应用程序使用相同的自定义授权模块类名称，本地攻击者可部署允许或拒绝用户访问的恶意应用程序授权模块。(CVE-2012-4572)

- XML 加密向后兼容性攻击可允许攻击者强制服务器使用不安全的传统加密系统。(CVE-2012-5575)

- 空指针取消引用缺陷可允许恶意 OCSP 导致执行 OCSP 验证的应用程序崩溃。
 (CVE-2013-0166)

- 存在 OpenSSL 泄漏计时信息问题，可允许远程攻击者从加密的数据包提取明文。(CVE-2013-0169)

- JBoss Enterprise Application Platform 管理员密码和受骗者密码存储在由 GUI 安装程序创建的、全局可读的自动安装 XML 文件中。(CVE-2013-0218)

- Tomcat 未正确处理某些认证请求。远程攻击者可利用此缺陷注入请求，然后以受害者的凭据执行该请求。(CVE-2013-2067)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
66522	RHEL 6：JBoss EAP (RHSA-2013:0834)	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
66523	RHEL 5：JBoss EAP (RHSA-2013:0839)	Nessus	Red Hat Local Security Checks	2013/5/21	2021/1/14	medium
72237	JBoss Portal 6.1.0 更新 (RHSA-2013:1437)	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high
66971	JBoss Enterprise Application Platform 6.1.0 更新 (RHSA-2013:0833)	Nessus	Red Hat Local Security Checks	2013/6/24	2022/12/5	high

检测

插件搜索

medium

medium

high

high