远程系统上的 JBoss Enterprise Portal Platform 版本受到以下问题的影响：

- JBoss Web 的 CSRF 阻止过滤器中的缺陷可允许远程攻击者通过缺少会话标识符的请求来绕过跨站请求伪造 (CSRF) 保护机制。(CVE-2012-4431)

- 在使用 COOKIE 会话跟踪方法时出现的缺陷，可允许攻击者劫持用户的会话。(CVE-2012-4529)

- 当多个应用程序使用同一个自定义授权模块类名称时出现的缺陷，可允许本地攻击者部署恶意的应用程序（可替代其他应用程序所提供的自定义授权模块）。(CVE-2012-4572)

- 框架在解密之前未验证 WS-SecurityPolicy AlgorithmSuite 定义是否允许特定的加密算法.这可允许远程攻击者强迫系统使用较弱的加密算法而非预期算法，并且更容易对通信进行解码。
 (CVE-2012-5575)

- PicketBox 中的缺陷可允许本地用户通过读取 Vault 数据文件，获取 admin 加密密钥。
 (CVE-2013-1921)

在 FormAuthenticator 模块中发现会话固定缺陷。(CVE-2013-2067)

- 在启动 JGroups 通道时出现的缺陷可导致未经认证即可通过 IP 多播默认启用 JGroups 诊断服务。远程攻击者可利用此缺陷读取诊断信息。(CVE-2013-2102)

- StAX 解析器实现中的缺陷可允许远程攻击者通过构建的 XML 造成拒绝服务。(CVE-2013-2160)

- Apache Santuario XML Security 中的缺陷可允许上下文有关的攻击者通过使用 CanonicalizationMethod 参数，欺骗 XML 签名指定任意弱算法。(CVE-2013-2172)

- JGroup 的 DiagnosticsHandler 中的缺陷可允许远程攻击者通过重新使用有效的凭据，获取敏感信息和执行任意代码。
 (CVE-2013-4112)

- 在通过远程命名将已认证的连接缓存到服务器的方式中存在缺陷，可允许远程攻击者通过使用远程处理客户端劫持会话。(CVE-2013-4128)

- 将 EJB 调用的连接缓存到服务器的方式存在缺陷，可允许远程攻击者通过使用 EJB 客户端劫持会话。
 (CVE-2013-4213)

更新后的 Red Hat JBoss Enterprise Application Platform 6.1.0 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

在 remote-naming 在服务器上缓存经过认证的连接的方式中发现一个缺陷。用户成功登录后，远程攻击者在不知道该用户的密码的情况下，可使用远程处理客户端以该用户的身份登录，从而可以以该用户的权限访问数据和执行操作。(CVE-2013-4128)

在服务器上缓存通过 EJB 客户端 API 的远程 EJB 调用的连接的方式中发现一个缺陷。用户成功登录后，远程攻击者在不知道该用户的密码的情况下，可使用 EJB 客户端以该用户的身份登录，从而可以以该用户的权限访问数据和执行操作。(CVE-2013-4213)

这些问题由 Red Hat GSS 团队的 Wolf-Dieter Fink 发现。

警告：应用此更新之前，请备份现有 Red Hat JBoss Enterprise Application Platform 安装和部署的应用程序。

建议 Red Hat Enterprise Linux 5 和 6 上的所有 Red Hat JBoss Enterprise Application Platform 6.1.0 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

远程系统上运行的 JBoss Enterprise Application Platform 版本容易受到以下问题的影响：

- remote-naming 在服务器上缓冲经认证的连接的方式中的缺陷可允许远程攻击者在不了解其他用户的密码的情况下以该用户的身份登录。(CVE-2013-4128)

- 通过 EJB 客户端 API 在服务器上缓存远程 EJB 调用的连接的方式中的缺陷可允许远程攻击者使用 EJB 客户端在不了解其他用户的密码的情况下以该用户的身份登录。(CVE-2013-4213)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
72237	JBoss Portal 6.1.0 更新 (RHSA-2013:1437)	Nessus	Red Hat Local Security Checks	2014/1/31	2022/4/11	high
69315	RHEL 5 / 6：JBoss EAP (RHSA-2013:1151)	Nessus	Red Hat Local Security Checks	2013/8/13	2021/1/14	medium
72261	Red Hat JBoss Enterprise Application Platform 6.1.0 安全更新 (RHSA-2013:1152)	Nessus	Red Hat Local Security Checks	2014/2/3	2023/11/27	medium

检测

插件搜索

high

medium

medium