rhvm-appliance 的更新现在可用于 RHEL 7 的 Red Hat Virtualization 4。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。RHV-M Virtual Appliance 可自动化 Red Hat Virtualization Manager 的安装和配置过程。可从客户门户网站中，下载此设备为 OVA 文件。下列程序包已升级到更高的上游版本：rhvm-appliance (4.2)。(BZ#1558801, BZ#1563545) 安全修复：* python-paramiko：transport.py 中的验证绕过 (CVE-2018-7750) * slf4j：EventData 构造函数中的反序列化漏洞允许任意代码执行 (CVE-2018-8088) * undertow：客户端可在摘要认证中使用 bogus uri (CVE-2017-12196) * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 和 CVE-2017-17485 的修复不完整） (CVE-2018-5968) * ovirt-engine：通过登录 web 控制台进行帐户枚举 (CVE-2018-1073) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Chris McCown 报告 CVE-2018-8088。CVE-2017-12196 问题由 Jan Stourac (Red Hat) 发现。增强功能：* 之前，RHV-M Virtual Appliance 的默认内存配额足够大，可支援用户新增量。在此版本中，RHV-M Virtual Appliance 纳入了一个 swap 分割区，可在需要时增加内存。(BZ#1422982) * 先前，RHV-M Virtual Appliance 的分区方案包含两个主要分区，即“/”和 swap。在此版本中，磁碟分割区方案已经过调整，以符合 NIST 指定的方案。更新过的磁碟分割区如下：/boot 1G（主要）/home 1G (lvm) /tmp 2G (lvm) /var 20G (lvm) /var/log 10G (lvm) /var/log/audit 1G (lvm) swap 8G (lvm) / 6G（主要）(BZ#1463853) * 之前，版本标记被用来作为 RPM 命名方案的一部分（例如，“4.1.timestamp”），这造成上游和下游版本方案间有所差异。在此版本中，下游版本方案配合上游版本方案，时间戳已从版本标记移至版次标记。(BZ#1464486)

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2018:0480 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.1.1 版本可替换 Red Hat JBoss Enterprise Application Platform 7.1.0，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。

    安全修复：

    * artemis/hornetq通过 UDP 和 JGroups 发现的内存耗尽 (CVE-2017-12174)

    * infinispan对注入数据缓存的恶意对象进行不安全的反序列化 (CVE-2017-15089)

    * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 修复不完全）(CVE-2017-15095)

    * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-15095 修复不完全）(CVE-2017-17485)

    * resteasyCORS 过滤器未添加 Vary 标头导致缓存中毒 (CVE-2017-7561)

    * undertow客户端可在摘要式认证中使用 bogus uri (CVE-2017-12196)

    * undertowAjpRequestParser 中未考虑 ALLOW_ENCODED_SLASH 选项 (CVE-2018-1048)

    * jackson-databind由于黑名单不完整造成反序列化不安全 CVE-2017-7525 和 CVE-2017-17485的修复不完整 (CVE-2018-5968)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 7.1。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。此 Red Hat JBoss Enterprise Application Platform 7.1.1 版本可替换 Red Hat JBoss Enterprise Application Platform 7.1.0，并包含多项缺陷补丁和增强，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* artemis/hornetq：因 UDP 和 JGroups 发现导致的内存耗尽 (CVE-2017-12174) * infinispan：注入数据缓存的恶意对象的不安全反序列化 (CVE-2017-15089) * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 修复不完全） (CVE-2017-15095) * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-15095 修复不完全） (CVE-2017-17485) * resteasy：CORS 筛选器未加入 Vary 标头，进而导致缓存侵害 (CVE-2017-7561) * undertow：客户端可在摘要认证中使用 bogus uri (CVE-2017-12196) * undertow：未在 AjpRequestParser 中将 ALLOW_ENCODED_SLASH 选项纳入考量 (CVE-2018-1048) * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 和 CVE-2017-17485 的修复不完整）(CVE-2018-5968) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2018:0481 公告中提及的多个漏洞影响。

    eap7-jboss-ec2-eap 程序包为 Amazon Web Service (AWS) Elastic Compute Cloud (EC2) 上运行的 Red Hat JBoss Enterprise Application Platform 提供脚本。

    通过此更新已更新 eap7-jboss-ec2-eap 程序包以确保兼容 Red Hat JBoss Enterprise Application Platform 7.1.1

    请参阅“参考”部分链接的 JBoss Enterprise Application Platform 7.1 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * artemis/hornetq通过 UDP 和 JGroups 发现的内存耗尽 (CVE-2017-12174)

    * infinispan对注入数据缓存的恶意对象进行不安全的反序列化 (CVE-2017-15089)

    * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 修复不完全）(CVE-2017-15095)

    * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-15095 修复不完全）(CVE-2017-17485)

    * resteasyCORS 过滤器未添加 Vary 标头导致缓存中毒 (CVE-2017-7561)

    * undertow客户端可在摘要式认证中使用 bogus uri (CVE-2017-12196)

    * undertowAjpRequestParser 中未考虑 ALLOW_ENCODED_SLASH 选项 (CVE-2018-1048)

    * jackson-databind由于黑名单不完整造成反序列化不安全 CVE-2017-7525 和 CVE-2017-17485的修复不完整 (CVE-2018-5968)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 发现 undertow 之前版本 1.4.18.SP1、2.0.2.Final、1.4.24.Final 易受攻击使用摘要式认证时服务器不确保授权标头中的 URI 值与 HTTP 请求行中的 URI 匹配。这允许攻击者造成 MITM 攻击并访问 服务器上的所需内容。 (CVE-2017-12196)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
109910	RHEL 7：Virtualization (RHSA-2018:1525)	Nessus	Red Hat Local Security Checks	2018/5/18	2025/3/20	critical
108324	RHEL 7RHEL 7 的 JBoss Enterprise Application Platform 7.1.1 重要(RHSA-2018:0480)	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical
108323	RHEL 6：JBoss EAP (RHSA-2018:0479)	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical
108325	RHEL 6 / 7 EAP 的 jboss-ec2-eap 程序包 7.1.1 重要 (RHSA-2018:0481)	Nessus	Red Hat Local Security Checks	2018/3/14	2025/4/29	critical
251493	Linux Distros 未修补的漏洞：CVE-2017-12196	Nessus	Misc.	2025/8/18	2025/8/18	medium

检测

插件搜索

critical

critical

critical

critical

medium