远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 3656 公告中提及的多个漏洞影响。

  - velocity：当攻击者能够修改模板时可造成任意代码执行 (CVE-2020-13936)

  - netty：由于缺少验证，HTTP/2 中可能发生请求走私 (CVE-2021-21295)

  - netty：通过内容长度标头造成的请求走私 (CVE-2021-21409)

  - jakarta-el：ELParserTokenManager 导致评估无效的 EL 表达式 (CVE-2021-28170)

  - apache-commons-io：Apache Commons IO 2.2 至 2.6 中存在限制的路径遍历 (CVE-2021-29425)

  - wildfly：在域模式下创建角色时通过管理控制台造成的 XSS (CVE-2021-3536)

  - undertow：HTTP2SourceChannel 在某些情况下未能写入最末帧，可导致 DoS (CVE-2021-3597)

  - wildfly-elytron：ScramServer 中存在潜在时序攻击 (CVE-2021-3642)

  - wildfly-core：Vault 表达式的敏感度分类无效 (CVE-2021-3644)

  - undertow：传入 websocket PONG 消息上的缓冲区泄漏可能导致 DoS (CVE-2021-3690)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 3658 公告中提及的多个漏洞影响。

  - velocity：当攻击者能够修改模板时可造成任意代码执行 (CVE-2020-13936)

  - netty：由于缺少验证，HTTP/2 中可能发生请求走私 (CVE-2021-21295)

  - netty：通过内容长度标头造成的请求走私 (CVE-2021-21409)

  - jakarta-el：ELParserTokenManager 导致评估无效的 EL 表达式 (CVE-2021-28170)

  - apache-commons-io：Apache Commons IO 2.2 至 2.6 中存在限制的路径遍历 (CVE-2021-29425)

  - wildfly：在域模式下创建角色时通过管理控制台造成的 XSS (CVE-2021-3536)

  - undertow：HTTP2SourceChannel 在某些情况下未能写入最末帧，可导致 DoS (CVE-2021-3597)

  - wildfly-elytron：ScramServer 中存在潜在时序攻击 (CVE-2021-3642)

  - wildfly-core：Vault 表达式的敏感度分类无效 (CVE-2021-3644)

  - undertow：传入 websocket PONG 消息上的缓冲区泄漏可能导致 DoS (CVE-2021-3690)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 3468 公告中提及的多个漏洞影响。

  - jakarta-el：ELParserTokenManager 导致评估无效的 EL 表达式 (CVE-2021-28170)

  - apache-commons-io：Apache Commons IO 2.2 至 2.6 中存在限制的路径遍历 (CVE-2021-29425)

  - undertow：HTTP2SourceChannel 在某些情况下未能写入最末帧，可导致 DoS (CVE-2021-3597)

  - wildfly-core：Vault 表达式的敏感度分类无效 (CVE-2021-3644)

  - undertow：传入 websocket PONG 消息上的缓冲区泄漏可能导致 DoS (CVE-2021-3690)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle WebLogic Server 版本缺少 2020 年 4 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响：

  - 捆绑的 Guava 组件中存在临时目录创建漏洞，该漏洞允许低权限攻击者登录执行 Oracle WebLogic Server 的基础架构，以获取对 Oracle WebLogic Server 可访问的一部分数据的读取访问权限。 (CVE-2020-8908)

  - 捆绑的 JBoss Enterprise Application Platform 中存在输入验证不当缺陷，该漏洞允许允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而更新、插入或删除 Oracle WebLogic Server 可访问的一部分数据。（CVE-2021-28170）

  - 捆绑的 JQuery 组件中存在跨站脚本漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，并与其他用户进行人工交互，从而更新、插入、删除和读取 Oracle WebLogic Server 可访问的一部分数据。（CVE-2021-41184）

  - Oracle WebLogic Server 的核心组件中存在拒绝服务漏洞，该漏洞允许未经身份验证的攻击者通过 T3/IIOP 进行网络访问，从而造成 Oracle WebLogic Server 挂起或频繁反复崩溃。 (CVE-2022-21441)

  - Oracle WebLogic Server 的控制台组件中存在一个漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，并与其他用户进行人工交互，从而更新、插入、删除和读取 Oracle WebLogic Server 可访问的一部分数据。（CVE-2022-21453）

  - 捆绑的 Log4J 组件中存在 SQL 注入漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而在 Oracle WebLogic Server 上执行任意代码。（CVE-2022-23305）

  - 捆绑的 Apache Xerces Java 组件中存在 XML 注入漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，并与其他用户进行人工交互，从而造成 Oracle WebLogic Server 挂起或频繁反复崩溃。（CVE-2022-23437）

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Jakarta Expression Language 实现 3.0.3 和更早版本中，ELParserTokenManager 中的缺陷允许将无效的 EL 表达式当作有效表达式来求值。 (CVE-2021-28170)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2021: 3466 公告中提及的多个漏洞影响。

  - jakarta-el：ELParserTokenManager 导致评估无效的 EL 表达式 (CVE-2021-28170)

  - apache-commons-io：Apache Commons IO 2.2 至 2.6 中存在限制的路径遍历 (CVE-2021-29425)

  - undertow：HTTP2SourceChannel 在某些情况下未能写入最末帧，可导致 DoS (CVE-2021-3597)

  - wildfly-core：Vault 表达式的敏感度分类无效 (CVE-2021-3644)

  - undertow：传入 websocket PONG 消息上的缓冲区泄漏可能导致 DoS (CVE-2021-3690)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 3467 公告中提及的多个漏洞影响。

  - jakarta-el：ELParserTokenManager 导致评估无效的 EL 表达式 (CVE-2021-28170)

  - apache-commons-io：Apache Commons IO 2.2 至 2.6 中存在限制的路径遍历 (CVE-2021-29425)

  - undertow：HTTP2SourceChannel 在某些情况下未能写入最末帧，可导致 DoS (CVE-2021-3597)

  - wildfly-core：Vault 表达式的敏感度分类无效 (CVE-2021-3644)

  - undertow：传入 websocket PONG 消息上的缓冲区泄漏可能导致 DoS (CVE-2021-3690)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2025:9582 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 7 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.1.11 版本用于替换 Red Hat JBoss Enterprise Application Platform 7.1.10，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.1.11 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * undertow查询结果中的特殊字符导致服务器错误 [eap-7.1.z] (CVE-2020-27782)

    * wildflyWildfly Enterprise Java Beans 中不安全的反序列化 [eap-7.1.z] (CVE-2020-10740)

    * libthrift处理不受信任的负载时可能发生的 DoS [eap-7.1.z] (CVE-2020-13949)

    * netty-allnetty-codecSnappyFrameDecoder 未限制区块长度并可能以不必要的方式缓冲可跳过的区块 [eap-7.1.z] (CVE-2021-37137)

    * hibernate-core同时使用 hibernate.use_sql_comments 和 JPQL 字符串文本时的 SQL 注入漏洞 [eap-7.1.z] (CVE-2020-25638)

    * wildfly-openssl在 WildFly OpenSSL 中每个 HTTP 会话创建过程中存在的内存泄漏 - WFSSL-51 - 相互认证和 OpenSSL 的内存泄漏 (CVE-2020-25644)

    * netty-allnetty-codecBzip2Decoder 不允许设置解压缩数据的大小限制 [eap-7.1.z] (CVE-2021-37136)

    * jackson-databind通过大量嵌套对象造成拒绝服务 [eap-7.1.z] (CVE-2020-36518)

    * eapJBoss EAPwildfly-elytron 存在 SSRF 安全问题 [eap-7.1.z] (CVE-2024-1233)

    * keycloakorg.keycloak.protocol.oidc checkLoginIframe 中未经验证的跨源消息会导致 DDoS [eap-7.1.z] (CVE-2024-1249)

    * undertowundertow 客户端未检查 https 连接中的服务器身份 [eap-7.1.z] (CVE-2022-4492)

    * undertowAJP 请求关闭超过 maxRequestSize 的连接 [eap-7.1.z] (CVE-2023-5379)

    * undertowHTTP/2 中的流控制存在潜在安全问题可能导致 DOS不完整修复 CVE-2021-3629[eap-7.1.z] (CVE-2022-1259)

    * wildfly-elytron通过使用不安全的比较器可能发生时序攻击 [eap-7.1.z] (CVE-2022-3143)

    * jakarta-elELParserTokenManager 支持对无效的 EL 表达式进行求值 [eap-7.1.z] (CVE-2021-28170)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
153835	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.4.1 安全更新（重要）(RHSA-2021: 3656)	Nessus	Red Hat Local Security Checks	2021/10/1	2024/11/7	high
153832	RHEL 8：RHEL 8 上的 Red Hat JBoss Enterprise Application Platform 7.4.1 安全更新（重要）(RHSA-2021: 3658)	Nessus	Red Hat Local Security Checks	2021/10/1	2024/11/7	high
165138	RHEL 8：RHEL 8 上的 Red Hat JBoss Enterprise Application Platform 7.3.9 安全更新（重要）(RHSA-2021: 3468)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/11/8	medium
160036	Oracle WebLogic Server（2022 年 4 月 CPU）	Nessus	Misc.	2022/4/21	2024/1/4	critical
223721	Linux Distros 未修补的漏洞: CVE-2021-28170	Nessus	Misc.	2025/3/4	2025/10/14	medium
165115	RHEL 6：RHEL 6 上的 Red Hat JBoss Enterprise Application Platform 7.3.9 安全更新（重要）(RHSA-2021: 3466)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/11/7	medium
165158	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.3.9 安全更新（重要）(RHSA-2021: 3467)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/11/7	medium
240506	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.1.11 (RHSA-2025:9582)	Nessus	Red Hat Local Security Checks	2025/6/25	2025/10/9	high

检测

插件搜索

high

high

medium

critical

medium

medium

medium

high