远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2017:1412 公告中提及的多个漏洞影响。

    eap7-jboss-ec2-eap 程序包为 Amazon Web Service (AWS) Elastic Compute Cloud (EC2) 上运行的 Red Hat JBoss Enterprise Application Platform 提供脚本。

    通过此更新，已更新 eap7-jboss-ec2-eap 程序包以确保兼容 Red Hat JBoss Enterprise Application Platform 7.0.6。

    请参阅“参考”部分链接的 JBoss Enterprise Application Platform 7.0.6 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    发已现在某些情况下，会强制 RESTEasy 使用 YamlProvider 分析请求，从而导致打乱潜在不受信任的数据。攻击者可能会利用此缺陷，通过使用 RESTEasy 的应用程序许可，执行任意代码。(CVE-2016-9606)

    * 已发现 Red Hat JBoss Enterprise Application 6 和 7 中的日志文件查看器允许经身份验证的用户通过路径遍历读取任意文件。 (CVE-2017-2595)

    * 已发现解析 HTTP 请求行的代码允许无效字符。可利用此缺陷，通过与同样允许无效字符但解释不同的代理结合，将数据注入 HTTP 响应。通过操纵 HTTP 响应攻击者可以毒化 web 缓存、执行 XSS 攻击或从自己请求以外的请求中获取敏感信息。 (CVE-2017-2666)

    * 已发现在非清洁 TCP 关闭时Websocket 服务器会在每个 IO 线程上进入无限循环从而有效导致 DoS。 (CVE-2017-2670)

    Red Hat 在此感谢 Moritz Bechler (AgNO3 GmbH & Co. KG) 报告 CVE-2016-9606 以及 Gregory Ramsperger 和 Ryan Moak 报告 CVE-2017-2670。CVE-2017-2666 问题由 Radim Hatlapatka (Red Hat) 发现。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新现在可用于 Red Hat Enterprise Linux 7 的 Red Hat JBoss Enterprise Application Platform 7.1。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。此 Red Hat JBoss Enterprise Application Platform 7.1.0 版本可替换 Red Hat JBoss Enterprise Application Platform 7.0.0，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* 将长请求发送至 EAP 7 时，可能会造成拒绝服务。(CVE-2016-7046) * jboss init 脚本不安全的文件处理导致本地权限提升。(CVE-2016-8656) * 通过 ObjectMapper 的 readValue 方法导致的反序列化漏洞可允许任意代码执行。(CVE-2017-7525) * JMSObjectMessage 将可能的恶意对象反序列化，从而允许远程代码执行。(CVE-2016-4978) * Undertow 容易遭到任意 HTTP 标头注入，以及响应拆分。(CVE-2016-4993) * 域控制器不会将其管理 RBAC 配置传递到某些从属，导致权限提升。(CVE-2016-5406) * 当未设置请求标头 Host 字段时，内部 IP 地址会在重定向上泄露。(CVE-2016-6311) * 通过对服务器日志文件的 GET 请求发动潜在 EAP 资源匮乏 DOS 攻击。(CVE-2016-8627) * 不充分的标头缓存可能造成拒绝服务。(CVE-2016-9589) * 日志文件查看器允许经验证用户通过路径遍历读取任意文件。(CVE-2017-2595) * HTTP 请求走私漏洞，这是因为在 HTTP 请求中允许无效字符所致。(CVE-2017-2666) * Websocket 非清洁关闭可造成 IO 线程陷入循环。(CVE-2017-2670) * 将安全管理员的反射权限授予 Hibernate Validator 时，会发生权限提升问题。(CVE-2017-7536) * Undertow 解析具有异常空格的 http 标头时，可能发生 http 请求走私问题。(CVE-2017-7559) * 管理和应用程序领域的基于属性的文件为所有人皆可读取，允许访问登录至系统的所有用户的用户和角色信息。(CVE-2017-12167) * RBAC 配置允许具有 Monitor 角色的用户查看敏感信息。(CVE-2016-7061) * 不正确的空格解析会导致可能的 HTTP 请求走私问题。(CVE-2017-12165) Red Hat 感谢 Liao Xinxi (NSFOCUS) 报告 CVE-2017-7525；感谢 Calum Hutton (NCC Group) 和 Mikhail Egorov (Odin) 报告 CVE-2016-4993；感谢 Luca Bueti 报告 CVE-2016-6311；感谢 Gabriel Lavoie (Halogen Software) 报告 CVE-2016-9589；并感谢 Gregory Ramsperger 和 Ryan Moak 报告 CVE-2017-2670。CVE-2016-5406 问题是由 Tomaz Cerar (Red Hat) 发现；CVE-2016-8627 问题是由 Darran Lofthouse (Red Hat) 和 Brian Stansberry (Red Hat) 发现；CVE-2017-2666 问题是由 Radim Hatlapatka (Red Hat) 发现；CVE-2017-7536 问题是由 Gunnar Morling (Red Hat) 发现；CVE-2017-7559 和 CVE-2017-12165 问题是由 Stuart Douglas (Red Hat) 发现；以及 CVE-2017-12167 问题是由 Brian Stansberry (Red Hat) 和 Jeremy Choi (Red Hat) 发现。上游感谢 CVE-2016-6311 的原始报告者 WildFly。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2017:1411 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.0.6 版本可替换 Red Hat JBoss Enterprise Application Platform 7.0.5，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。

    安全修复：

    发已现在某些情况下，会强制 RESTEasy 使用 YamlProvider 分析请求，从而导致打乱潜在不受信任的数据。攻击者可能会利用此缺陷，通过使用 RESTEasy 的应用程序许可，执行任意代码。(CVE-2016-9606)

    * 已发现 Red Hat JBoss Enterprise Application 6 和 7 中的日志文件查看器允许经身份验证的用户通过路径遍历读取任意文件。 (CVE-2017-2595)

    * 已发现解析 HTTP 请求行的代码允许无效字符。可利用此缺陷，通过与同样允许无效字符但解释不同的代理结合，将数据注入 HTTP 响应。通过操纵 HTTP 响应攻击者可以毒化 web 缓存、执行 XSS 攻击或从自己请求以外的请求中获取敏感信息。 (CVE-2017-2666)

    * 已发现在非清洁 TCP 关闭时Websocket 服务器会在每个 IO 线程上进入无限循环从而有效导致 DoS。 (CVE-2017-2670)

    Red Hat 在此感谢 Moritz Bechler (AgNO3 GmbH & Co. KG) 报告 CVE-2016-9606 以及 Gregory Ramsperger 和 Ryan Moak 报告 CVE-2017-2670。CVE-2017-2666 问题由 Radim Hatlapatka (Red Hat) 发现。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2017:3454 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.1.0 版本可替换 Red Hat JBoss Enterprise Application Platform 7.0.0，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。

    安全修复：

    * 向 EAP 7 发送长请求时可造成拒绝服务。(CVE-2016-7046)

    * jboss init 脚本不安全的文件处理导致本地权限升级。 (CVE-2016-8656)

    * 通过 ObjectMapper 的 readValue 方法导致的反序列化漏洞可允许任意代码执行。 (CVE-2017-7525)

    * JMSObjectMessage 将可能的恶意对象反序列化，从而允许远程代码执行。
    (CVE-2016-4978)

    * Undertow 容易遭到任意 HTTP 标头注入，以及响应拆分。
    (CVE-2016-4993)

    * 域控制器不会将其管理 RBAC 配置传递到某些从属导致权限提升。 (CVE-2016-5406)

    * 当未设置请求标头 Host 字段时内部 IP 地址会在重定向上泄露。 (CVE-2016-6311)

    * 通过对服务器日志文件的 GET 请求发动潜在 EAP 资源匮乏 DOS 攻击。 (CVE-2016-8627)

    * 不充分的标头缓存可能造成拒绝服务。 (CVE-2016-9589)

    * 日志文件查看器允许经验证用户通过路径遍历读取任意文件。 (CVE-2017-2595)

    * HTTP 请求走私漏洞，这是因为在 HTTP 请求中允许无效字符所致。
    (CVE-2017-2666)

    * Websocket 非清洁关闭可造成 IO 线程陷入循环。 (CVE-2017-2670)

    * 将安全管理员的反射权限授予 Hibernate Validator 时，会发生权限提升问题。
    (CVE-2017-7536)

    * Undertow 解析具有异常空格的 http 标头时，可能发生 http 请求走私问题。
    (CVE-2017-7559)

    * 管理和应用程序领域的基于属性的文件为所有人皆可读取允许访问登录至系统的所有用户的用户和角色信息。 (CVE-2017-12167)

    * RBAC 配置允许具有 Monitor 角色的用户查看敏感信息。 (CVE-2016-7061)

    * 不正确的空格解析会导致可能的 HTTP 请求走私问题。 (CVE-2017-12165)

    Red Hat 感谢 Liao Xinxi (NSFOCUS) 报告 CVE-2017-7525；感谢 Calum Hutton (NCC Group) 和 Mikhail Egorov (Odin) 报告 CVE-2016-4993；感谢 Luca Bueti 报告 CVE-2016-6311；感谢 Gabriel Lavoie (Halogen Software) 报告 CVE-2016-9589；并感谢 Gregory Ramsperger 和 Ryan Moak 报告 CVE-2017-2670。CVE-2016-5406 问题是由 Tomaz Cerar (Red Hat) 发现；CVE-2016-8627 问题是由 Darran Lofthouse (Red Hat) 和 Brian Stansberry (Red Hat) 发现；CVE-2017-2666 问题是由 Radim Hatlapatka (Red Hat) 发现；CVE-2017-7536 问题是由 Gunnar Morling (Red Hat) 发现；CVE-2017-7559 和 CVE-2017-12165 问题是由 Stuart Douglas (Red Hat) 发现；以及 CVE-2017-12167 问题是由 Brian Stansberry (Red Hat) 和 Jeremy Choi (Red Hat) 发现。上游感谢 CVE-2016-6311 的原始报告者 WildFly。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

eap7-jboss-ec2-eap 的更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 7.1 和可用于 Red Hat Enterprise Linux 7 的 Red Hat JBoss Enterprise Application Platform 7.1。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。eap7-jboss-ec2-eap 程序包为 Amazon Web Service (AWS) Elastic Compute Cloud (EC2) 上运行的 Red Hat JBoss Enterprise Application Platform 提供脚本。通过此更新，已更新 eap7-jboss-ec2-eap 程序包以确保兼容 Red Hat JBoss Enterprise Application Platform 7.1。请参阅“参考”部分链接的 JBoss Enterprise Application Platform 7.1 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。安全修复：* 将长请求发送至 EAP 7 时，可能会造成拒绝服务。(CVE-2016-7046) * jboss init 脚本不安全的文件处理导致本地权限提升。(CVE-2016-8656) * 通过 ObjectMapper 的 readValue 方法导致的反序列化漏洞可允许任意代码执行。(CVE-2017-7525) * JMSObjectMessage 将可能的恶意对象反序列化，从而允许远程代码执行。(CVE-2016-4978) * Undertow 容易遭到任意 HTTP 标头注入，以及响应拆分。(CVE-2016-4993) * 域控制器不会将其管理 RBAC 配置传递到某些从属，导致权限提升。(CVE-2016-5406) * 当未设置请求标头 Host 字段时，内部 IP 地址会在重定向上泄露。(CVE-2016-6311) * 通过对服务器日志文件的 GET 请求发动潜在 EAP 资源匮乏 DOS 攻击。(CVE-2016-8627) * 不充分的标头缓存可能造成拒绝服务。(CVE-2016-9589) * 日志文件查看器允许经验证用户通过路径遍历读取任意文件。(CVE-2017-2595) * HTTP 请求走私漏洞，这是因为在 HTTP 请求中允许无效字符所致。(CVE-2017-2666) * Websocket 非清洁关闭可造成 IO 线程陷入循环。(CVE-2017-2670) * 将安全管理员的反射权限授予 Hibernate Validator 时，会发生权限提升问题。(CVE-2017-7536) * Undertow 解析具有异常空格的 http 标头时，可能发生 http 请求走私问题。(CVE-2017-7559) * 管理和应用程序领域的基于属性的文件为所有人皆可读取，允许访问登录至系统的所有用户的用户和角色信息。(CVE-2017-12167) * RBAC 配置允许具有 Monitor 角色的用户查看敏感信息。(CVE-2016-7061) * 不正确的空格解析会导致可能的 HTTP 请求走私问题。(CVE-2017-12165) Red Hat 感谢 Liao Xinxi (NSFOCUS) 报告 CVE-2017-7525；感谢 Calum Hutton (NCC Group) 和 Mikhail Egorov (Odin) 报告 CVE-2016-4993；感谢 Luca Bueti 报告 CVE-2016-6311；感谢 Gabriel Lavoie (Halogen Software) 报告 CVE-2016-9589；并感谢 Gregory Ramsperger 和 Ryan Moak 报告 CVE-2017-2670。CVE-2016-5406 问题是由 Tomaz Cerar (Red Hat) 发现；CVE-2016-8627 问题是由 Darran Lofthouse (Red Hat) 和 Brian Stansberry (Red Hat) 发现；CVE-2017-2666 问题是由 Radim Hatlapatka (Red Hat) 发现；CVE-2017-7536 问题是由 Gunnar Morling (Red Hat) 发现；CVE-2017-7559 和 CVE-2017-12165 问题是由 Stuart Douglas (Red Hat) 发现；以及 CVE-2017-12167 问题是由 Brian Stansberry (Red Hat) 和 Jeremy Choi (Red Hat) 发现。上游感谢 CVE-2016-6311 的原始报告者 WildFly。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2017:1410 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。

    此 Red Hat JBoss Enterprise Application Platform 7.0.6 版本可替换 Red Hat JBoss Enterprise Application Platform 7.0.5，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。

    安全修复：

    发已现在某些情况下，会强制 RESTEasy 使用 YamlProvider 分析请求，从而导致打乱潜在不受信任的数据。攻击者可能会利用此缺陷，通过使用 RESTEasy 的应用程序许可，执行任意代码。(CVE-2016-9606)

    * 已发现 Red Hat JBoss Enterprise Application 6 和 7 中的日志文件查看器允许经身份验证的用户通过路径遍历读取任意文件。 (CVE-2017-2595)

    * 已发现解析 HTTP 请求行的代码允许无效字符。可利用此缺陷，通过与同样允许无效字符但解释不同的代理结合，将数据注入 HTTP 响应。通过操纵 HTTP 响应攻击者可以毒化 web 缓存、执行 XSS 攻击或从自己请求以外的请求中获取敏感信息。 (CVE-2017-2666)

    * 已发现在非清洁 TCP 关闭时Websocket 服务器会在每个 IO 线程上进入无限循环从而有效导致 DoS。 (CVE-2017-2670)

    Red Hat 在此感谢 Moritz Bechler (AgNO3 GmbH & Co. KG) 报告 CVE-2016-9606 以及 Gregory Ramsperger 和 Ryan Moak 报告 CVE-2017-2670。CVE-2017-2666 问题由 Radim Hatlapatka (Red Hat) 发现。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

已在使用 Java 编写的 web 服务器 Undertow 中发现两个漏洞，可能会导致拒绝服务或 HTTP 请求走私。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112176	RHEL 6 / 7：eap7-jboss-ec2-eap (RHSA-2017:1412)	Nessus	Red Hat Local Security Checks	2018/8/29	2025/4/29	high
105269	RHEL 7：JBoss EAP (RHSA-2017:3455)	Nessus	Red Hat Local Security Checks	2017/12/15	2025/4/29	critical
112259	RHEL 7Red Hat Enterprise Linux 7 上的 JBoss Enterprise Application Platform 7.0.6 中等(RHSA-2017:1411)	Nessus	Red Hat Local Security Checks	2018/9/4	2025/4/29	high
105268	RHEL 6Red Hat JBoss Enterprise Application Platform 7.1.0 (RHSA-2017:3454)	Nessus	Red Hat Local Security Checks	2017/12/15	2025/4/29	critical
105252	RHEL 6 / 7 : eap7-jboss-ec2-eap (RHSA-2017:3458)	Nessus	Red Hat Local Security Checks	2017/12/14	2025/4/29	critical
112258	RHEL 6Red Hat Enterprise Linux 6 上的 JBoss Enterprise Application Platform 7.0.6 中等(RHSA-2017:1410)	Nessus	Red Hat Local Security Checks	2018/9/4	2025/4/29	high
101379	Debian DSA-3906-1：undertow - 安全更新	Nessus	Debian Local Security Checks	2017/7/12	2021/1/4	high

检测

插件搜索

high

critical

high

critical

critical

high

high