遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2026:70229 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 8 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 8.1.8 是 Red Hat JBoss Enterprise Application Platform 8.1.7 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 8.1.8 版本資訊。

    安全性修正：

    * jackson-core： jackson-core： 透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * netty-codec-http2： Netty：透過 SPDY 轉 HTTP 編解碼器中的記憶體耗盡造成拒絕服務 [eap-8.1.z] （CVE-2026-56745）

    * netty-handler： Netty：透過 OpenSSL 用戶端路徑設定錯誤繞過 TLS 主機名稱驗證 [eap-8.1.z] （CVE-2026-62243）

    * bcpg-jdk18on： Bouncy Castle for Java：由於不受限制的 OpenPGP 使用者屬性子封包長度而導致的拒絕服務 [eap-8.1.z] （CVE-2026-59649）

    * jackson-databind： jackson-databind： 忽略的屬性可能會被意外修改 [eap-8.1.z] （CVE-2026-54515）

    * jackson-databind： Jackson-databind： 透過不當處理@JsonUnwrapped屬性導致權限提升 [eap-8.1.z] （CVE-2026-59889）

    * netty-codec-dns： netty：網域名稱格式錯誤的 DNS 記錄解碼器中記憶體洩漏造成拒絕服務 [eap-8.1.z] （CVE-2026-73508）

    * jboss-eap.1-runtime-maven-repository.zip： jackson-core：透過非同步 JSON 剖析器中不完整的修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * jboss-eap-runtime-maven-repository.zip： jackson-core：透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * bcprov-jdk18on：不受限制的 PGP AEAD 區塊大小導致預先驗證資源耗盡 [eap-8.1.z] （CVE-2026-3505）

    * brace-expansion： brace-expansion： 透過無限中間陣列造成拒絕服務 [eap-8.1.z] （CVE-2026-69152）

    * netty-codec-http： Netty： netty-codec-http 中的記憶體耗盡（解壓縮炸彈） [eap-8.1.z] （CVE-2026-59899）

    * netty-codec-http： Netty： 安全性控制繞過允許透過 null 來源標頭提出未經授權的要求 [eap-8.1.z] （CVE-2026-56746）

    * netty-codec-http： Netty：透過 SPDY-to-HTTP 編解碼器中的記憶體耗盡造成拒絕服務 [eap-8.1.z] （CVE-2026-56745）

    * netty-codec-http： netty：透過 SPDY SETTINGS 框架處理的拒絕服務 [eap-8.1.z] （CVE-2026-55831）

    * netty-codec-http： netty：透過 SPDY 標頭解壓縮放大的拒絕服務 [eap-8.1.z] （CVE-2026-55833）

    * jackson-databind： Jackson-databind： 安全繞過允許任意程式碼執行 [eap-8.1.z] （CVE-2026-54513）

    * jackson-databind： jackson-databind： 透過 PolymorphicTypeValidator 繞過任意程式碼執行 [eap-8.1.z] （CVE-2026-54512）

    * undertow-core：透過過大區塊大小位元重疊走私 Undertow：HTTP 要求 [eap-8.1.z] （CVE-2026-14180）

    * artemis-server： artemis-server： 透過 channel0 上的 CORE SUBSCRIBE_TOPOLOGY_V2 洩露預先驗證拓撲 [eap-8.1.z] （CVE-2026-49363）

    * undertow-websockets-jsr： undertow：使用任何@OnMessage方法在具有@ServerEndpoint類別的 websocket 端點上進行預先驗證 DoS [eap-8.1.z] （CVE-2026-15565）

    * wildfly-iiop-openjdk： Wildfly：IIOP 接聽程式上的預先驗證拒絕服務 [eap-8.1.z] （CVE-2026-15567）

    * cxf-rt-transports-jms： Apache CXF： 透過不受信任的 JMS 組態執行任意程式碼 [eap-8.1.z] （CVE-2026-50632）

    * cxf-core：Apache CXF：由於缺少 JAXP 強化，透過頻外外部實體解析洩露資訊 [eap-8.1.z] （CVE-2026-49875）

    * wildfly-elytron-asn1：透過特製的 DER 負載，在 WildFly Elytron ASN.1 DERDecoder 中進行無限記憶體分配 [eap-8.1.z] （CVE-2026-10832）

    * cxf-rt-transports-jms： Apache CXF：透過不受信任的 JMS 組態執行遠端程式碼 [eap-8.1.z] （CVE-2026-44417）

    * wildfly-elytron-realm-token：EAP 的 elytron oauth2 中的參數插入 [eap-8.1.z] （CVE-2026-85511）

    * jakarta.faces： mojarra：透過 ui：include 中的 EL 插入，EAP JSF 應用程式中未經身份驗證的 RCE [eap-8.1.z] （CVE-2026-46581）

    * wildfly-iiop-openjdk：缺少 EAP 的 IIOP NameService 驗證會導致 MITM 或 DoS [eap-8.1.z] （CVE-2026-15563）

    * jboss-remoting： jboss-remoting：MessageReader 中的整數溢位導致預先驗證拒絕服務 [eap-8.1.z] （CVE-2026-15562）

    * undertow-core：透過 EAP 的 Undertow 中區塊預告片中缺少限制的 OOM [eap-8.1.z] （CVE-2026-15561）

    * openjdk-orb：在 EAP 中透過 IIOP 載入未經授權的類別 [eap-8.1.z] （CVE-2026-15560）

    * artemis-server：透過缺少驗證的 Apache Artemis 工作階段劫持 [eap-8.1.z] （CVE-2026-57967）

    * wildfly-clustering-infinispan-marshalling：透過 Unfiltered River Unmarshaller 的 Jboss 反序列化 RCE [eap-8.1.z] （CVE-2026-15555）

    * undertow-core： Undertow：透過 AJP ssl_cert/is_ssl 偽造繞過身份驗證 [eap-8.1.z] （CVE-2026-15554）

    * jgroups：透過 JGROUPS 詐騙洩露 Artemis 叢集密碼 [eap-8.1.z] （CVE-2026-49364）

    * artemis-server：artemis 核心通訊協定允許建立未經授權的佇列 [eap-8.1.z] （CVE-2026-49362）

    * artemis-server：Red Hat EAP 中的 artemis 訊息處理常式預設允許反序列化 [eap-8.1.z] （CVE-2026-86404）

    * undertow-core： Undertow：透過 WebSocket permessage-deflate 處理的拒絕服務 [eap-8.1.z] （CVE-2026-5680）

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2026:70229 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 8 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 8.1.8 版本可替换 Red Hat JBoss Enterprise Application Platform 8.1.7，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 8.1.8 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * jackson-core： jackson-core： 通过异步 JSON 解析器中不完整的修复造成拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * netty-codec-http2：Netty：通过 SPDY 到 HTTP 编解码器中的内存耗尽导致的拒绝服务 [eap-8.1.z] （CVE-2026-56745）

    * netty-handler：Netty：通过 OpenSSL 客户端路径错误配置导致的 TLS 主机名验证绕过 [eap-8.1.z] （CVE-2026-62243）

    * bcpg-jdk18on：Bouncy Castle for Java：未绑定 OpenPGP 用户属性子数据包长度造成的拒绝服务 [eap-8.1.z] （CVE-2026-59649）

    * jackson-databind： jackson-databind： 可对忽略的属性进行意外修改 [eap-8.1.z] （CVE-2026-54515）

    * jackson-databind： jackson-databind： 通过不当处理@JsonUnwrapped属性导致权限升级 [eap-8.1.z] （CVE-2026-59889）

    * netty-codec-dns：netty：通过域名畸形的 DNS 记录解码器中的内存泄漏造成拒绝服务 [eap-8.1.z] （CVE-2026-73508）

    * jboss-eap.1-runtime-maven-repository.zip：jackson-core：异步 JSON 解析器中不完整的修复导致拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * jboss-eap-runtime-maven-repository.zip：jackson-core：异步 JSON 解析器中不完整的修复导致拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * bcprov-jdk18on：不受限制的 PGP AEAD 区块大小导致预认证资源耗尽 [eap-8.1.z] （CVE-2026-3505）

    * brace-expansion： brace-expansion： 通过不受限制的中间数组造成的拒绝服务 [eap-8.1.z] （CVE-2026-69152）

    * netty-codec-http： Netty：netty-codec-http 中的内存耗尽（解压缩炸弹）[eap-8.1.z] （CVE-2026-59899）

    * netty-codec-http：Netty：安全控制绕过允许通过空源标头进行未经授权的请求 [eap-8.1.z] （CVE-2026-56746）

    * netty-codec-http：Netty：通过 SPDY 到 HTTP 编解码器中的内存耗尽导致的拒绝服务 [eap-8.1.z] （CVE-2026-56745）

    * netty-codec-http：Netty：通过 SPDY SETTINGS 帧处理拒绝服务 [eap-8.1.z] （CVE-2026-55831）

    * netty-codec-http：Netty：通过 SPDY 标头解压缩放大的拒绝服务 [eap-8.1.z] （CVE-2026-55833）

    * jackson-databind： jackson-databind：安全绕过允许任意代码执行 [eap-8.1.z] （CVE-2026-54513）

    * jackson-databind： jackson-databind：通过 PolymorphicTypeValidator 绕过的任意代码执行 [eap-8.1.z] （CVE-2026-54512）

    * undertow-core：Undertow：通过超大区块大小位重叠走私 HTTP 请求 [eap-8.1.z] （CVE-2026-14180）

    * artemis-server： artemis-server： 通过 channel0 上的 CORE SUBSCRIBE_TOPOLOGY_V2泄露预认证拓扑 [eap-8.1.z] （CVE-2026-49363）

    * undertow-websockets-jsr：undertow：带有任何@OnMessage方法的 @ServerEndpoint 类的 websocket 端点上的 Pre-Auth DoS [eap-8.1.z] （CVE-2026-15565）

    * wildfly-iiop-openjdk：Wildfly：IIOP 监听器上的预认证拒绝服务 [eap-8.1.z] （CVE-2026-15567）

    * cxf-rt-transports-jms：Apache CXF：通过不受信任的 JMS 配置执行任意代码 [eap-8.1.z] （CVE-2026-50632）

    * cxf-core：Apache CXF：由于缺少 JAXP 强化，通过带外外部实体解析造成信息泄露 [eap-8.1.z] （CVE-2026-49875）

    * wildfly-elytron-asn1：在 WildFly Elytron ASN.1 DERDecoder 中，通过特别构建的 DER 负载进行无限内存分配 [eap-8.1.z] （CVE-2026-10832）

    * cxf-rt-transports-jms：Apache CXF：通过不受信任的 JMS 配置进行的远程代码执行 [eap-8.1.z] （CVE-2026-44417）

    * wildfly-elytron-realm-token：EAP 的 elytron oauth2 中的参数注入 [eap-8.1.z] （CVE-2026-85511）

    * jakarta.faces：mojarra：通过 ui：include 中的 EL 注入，EAP JSF 应用程序中未经身份验证的 RCE [eap-8.1.z] （CVE-2026-46581）

    * wildfly-iiop-openjdk：EAP 的 IIOP 名称服务缺少认证会导致 MITM 或 DoS [eap-8.1.z] （CVE-2026-15563）

    * jboss-remoting： jboss-remoting：MessageReader 中的整数溢出导致预先认证拒绝服务 [eap-8.1.z] （CVE-2026-15562）

    * undertow-core：通过 EAP 的 Undertow 中分块拖尾片中的缺少限制造成 OOM [eap-8.1.z] （CVE-2026-15561）

    * openjdk-orb：通过 EAP 中的 IIOP 加载未经身份验证的类 [eap-8.1.z] （CVE-2026-15560）

    * artemis-server：通过缺少认证进行的 Apache Artemis 会话劫持 [eap-8.1.z] （CVE-2026-57967）

    * wildfly-clustering-infinispan-marshalling：通过 Unfiltered River Unmarshaller 的 Jboss 反序列化 RCE [eap-8.1.z] （CVE-2026-15555）

    * undertow-core： undertow：通过 AJP ssl_cert/is_ssl 伪造绕过身份验证 [eap-8.1.z] （CVE-2026-15554）

    * jgroups：通过 jgroups 欺骗泄漏 Artemis 群集密码 [eap-8.1.z] （CVE-2026-49364）

    * artemis-server：artemis 核心协议允许未经认证的队列创建 [eap-8.1.z] （CVE-2026-49362）

    * artemis-server：Red Hat EAP 中的 artemis 消息处理程序默认允许反序列化 [eap-8.1.z] （CVE-2026-86404）

    * undertow-core： undertow：通过 WebSocket permessage-deflate 处理造成拒绝服务 [eap-8.1.z] （CVE-2026-5680）

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 10 主机上安装的程序包受到 RHSA-2026:70230 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 8 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 8.1.8 版本可替换 Red Hat JBoss Enterprise Application Platform 8.1.7，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 8.1.8 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * jackson-core： jackson-core： 通过异步 JSON 解析器中不完整的修复造成拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * netty-codec-http2：Netty：通过 SPDY 到 HTTP 编解码器中的内存耗尽导致的拒绝服务 [eap-8.1.z] （CVE-2026-56745）

    * netty-handler：Netty：通过 OpenSSL 客户端路径错误配置导致的 TLS 主机名验证绕过 [eap-8.1.z] （CVE-2026-62243）

    * bcpg-jdk18on：Bouncy Castle for Java：未绑定 OpenPGP 用户属性子数据包长度造成的拒绝服务 [eap-8.1.z] （CVE-2026-59649）

    * jackson-databind： jackson-databind： 可对忽略的属性进行意外修改 [eap-8.1.z] （CVE-2026-54515）

    * jackson-databind： jackson-databind： 通过不当处理@JsonUnwrapped属性导致权限升级 [eap-8.1.z] （CVE-2026-59889）

    * netty-codec-dns：netty：通过域名畸形的 DNS 记录解码器中的内存泄漏造成拒绝服务 [eap-8.1.z] （CVE-2026-73508）

    * jboss-eap.1-runtime-maven-repository.zip：jackson-core：异步 JSON 解析器中不完整的修复导致拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * jboss-eap-runtime-maven-repository.zip：jackson-core：异步 JSON 解析器中不完整的修复导致拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * bcprov-jdk18on：不受限制的 PGP AEAD 区块大小导致预认证资源耗尽 [eap-8.1.z] （CVE-2026-3505）

    * brace-expansion： brace-expansion： 通过不受限制的中间数组造成的拒绝服务 [eap-8.1.z] （CVE-2026-69152）

    * netty-codec-http： Netty：netty-codec-http 中的内存耗尽（解压缩炸弹）[eap-8.1.z] （CVE-2026-59899）

    * netty-codec-http：Netty：安全控制绕过允许通过空源标头进行未经授权的请求 [eap-8.1.z] （CVE-2026-56746）

    * netty-codec-http：Netty：通过 SPDY 到 HTTP 编解码器中的内存耗尽导致的拒绝服务 [eap-8.1.z] （CVE-2026-56745）

    * netty-codec-http：Netty：通过 SPDY SETTINGS 帧处理拒绝服务 [eap-8.1.z] （CVE-2026-55831）

    * netty-codec-http：Netty：通过 SPDY 标头解压缩放大的拒绝服务 [eap-8.1.z] （CVE-2026-55833）

    * jackson-databind： jackson-databind：安全绕过允许任意代码执行 [eap-8.1.z] （CVE-2026-54513）

    * jackson-databind： jackson-databind：通过 PolymorphicTypeValidator 绕过的任意代码执行 [eap-8.1.z] （CVE-2026-54512）

    * undertow-core：Undertow：通过超大区块大小位重叠走私 HTTP 请求 [eap-8.1.z] （CVE-2026-14180）

    * artemis-server： artemis-server： 通过 channel0 上的 CORE SUBSCRIBE_TOPOLOGY_V2泄露预认证拓扑 [eap-8.1.z] （CVE-2026-49363）

    * undertow-websockets-jsr：undertow：带有任何@OnMessage方法的 @ServerEndpoint 类的 websocket 端点上的 Pre-Auth DoS [eap-8.1.z] （CVE-2026-15565）

    * wildfly-iiop-openjdk：Wildfly：IIOP 监听器上的预认证拒绝服务 [eap-8.1.z] （CVE-2026-15567）

    * cxf-rt-transports-jms：Apache CXF：通过不受信任的 JMS 配置执行任意代码 [eap-8.1.z] （CVE-2026-50632）

    * cxf-core：Apache CXF：由于缺少 JAXP 强化，通过带外外部实体解析造成信息泄露 [eap-8.1.z] （CVE-2026-49875）

    * wildfly-elytron-asn1：在 WildFly Elytron ASN.1 DERDecoder 中，通过特别构建的 DER 负载进行无限内存分配 [eap-8.1.z] （CVE-2026-10832）

    * cxf-rt-transports-jms：Apache CXF：通过不受信任的 JMS 配置进行的远程代码执行 [eap-8.1.z] （CVE-2026-44417）

    * wildfly-elytron-realm-token：EAP 的 elytron oauth2 中的参数注入 [eap-8.1.z] （CVE-2026-85511）

    * jakarta.faces：mojarra：通过 ui：include 中的 EL 注入，EAP JSF 应用程序中未经身份验证的 RCE [eap-8.1.z] （CVE-2026-46581）

    * wildfly-iiop-openjdk：EAP 的 IIOP 名称服务缺少认证会导致 MITM 或 DoS [eap-8.1.z] （CVE-2026-15563）

    * jboss-remoting： jboss-remoting：MessageReader 中的整数溢出导致预先认证拒绝服务 [eap-8.1.z] （CVE-2026-15562）

    * undertow-core：通过 EAP 的 Undertow 中分块拖尾片中的缺少限制造成 OOM [eap-8.1.z] （CVE-2026-15561）

    * openjdk-orb：通过 EAP 中的 IIOP 加载未经身份验证的类 [eap-8.1.z] （CVE-2026-15560）

    * artemis-server：通过缺少认证进行的 Apache Artemis 会话劫持 [eap-8.1.z] （CVE-2026-57967）

    * wildfly-clustering-infinispan-marshalling：通过 Unfiltered River Unmarshaller 的 Jboss 反序列化 RCE [eap-8.1.z] （CVE-2026-15555）

    * undertow-core： undertow：通过 AJP ssl_cert/is_ssl 伪造绕过身份验证 [eap-8.1.z] （CVE-2026-15554）

    * jgroups：通过 jgroups 欺骗泄漏 Artemis 群集密码 [eap-8.1.z] （CVE-2026-49364）

    * artemis-server：artemis 核心协议允许未经认证的队列创建 [eap-8.1.z] （CVE-2026-49362）

    * artemis-server：Red Hat EAP 中的 artemis 消息处理程序默认允许反序列化 [eap-8.1.z] （CVE-2026-86404）

    * undertow-core： undertow：通过 WebSocket permessage-deflate 处理造成拒绝服务 [eap-8.1.z] （CVE-2026-5680）

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2026:70228 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 8 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 8.1.8 版本可替换 Red Hat JBoss Enterprise Application Platform 8.1.7，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 8.1.8 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * jackson-core： jackson-core： 通过异步 JSON 解析器中不完整的修复造成拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * netty-codec-http2：Netty：通过 SPDY 到 HTTP 编解码器中的内存耗尽导致的拒绝服务 [eap-8.1.z] （CVE-2026-56745）

    * netty-handler：Netty：通过 OpenSSL 客户端路径错误配置导致的 TLS 主机名验证绕过 [eap-8.1.z] （CVE-2026-62243）

    * bcpg-jdk18on：Bouncy Castle for Java：未绑定 OpenPGP 用户属性子数据包长度造成的拒绝服务 [eap-8.1.z] （CVE-2026-59649）

    * jackson-databind： jackson-databind： 可对忽略的属性进行意外修改 [eap-8.1.z] （CVE-2026-54515）

    * jackson-databind： jackson-databind： 通过不当处理@JsonUnwrapped属性导致权限升级 [eap-8.1.z] （CVE-2026-59889）

    * netty-codec-dns：netty：通过域名畸形的 DNS 记录解码器中的内存泄漏造成拒绝服务 [eap-8.1.z] （CVE-2026-73508）

    * jboss-eap.1-runtime-maven-repository.zip：jackson-core：异步 JSON 解析器中不完整的修复导致拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * jboss-eap-runtime-maven-repository.zip：jackson-core：异步 JSON 解析器中不完整的修复导致拒绝服务 [eap-8.1.z] （CVE-2026-68494）

    * bcprov-jdk18on：不受限制的 PGP AEAD 区块大小导致预认证资源耗尽 [eap-8.1.z] （CVE-2026-3505）

    * brace-expansion： brace-expansion： 通过不受限制的中间数组造成的拒绝服务 [eap-8.1.z] （CVE-2026-69152）

    * netty-codec-http： Netty：netty-codec-http 中的内存耗尽（解压缩炸弹）[eap-8.1.z] （CVE-2026-59899）

    * netty-codec-http：Netty：安全控制绕过允许通过空源标头进行未经授权的请求 [eap-8.1.z] （CVE-2026-56746）

    * netty-codec-http：Netty：通过 SPDY 到 HTTP 编解码器中的内存耗尽导致的拒绝服务 [eap-8.1.z] （CVE-2026-56745）

    * netty-codec-http：Netty：通过 SPDY SETTINGS 帧处理拒绝服务 [eap-8.1.z] （CVE-2026-55831）

    * netty-codec-http：Netty：通过 SPDY 标头解压缩放大的拒绝服务 [eap-8.1.z] （CVE-2026-55833）

    * jackson-databind： jackson-databind：安全绕过允许任意代码执行 [eap-8.1.z] （CVE-2026-54513）

    * jackson-databind： jackson-databind：通过 PolymorphicTypeValidator 绕过的任意代码执行 [eap-8.1.z] （CVE-2026-54512）

    * undertow-core：Undertow：通过超大区块大小位重叠走私 HTTP 请求 [eap-8.1.z] （CVE-2026-14180）

    * artemis-server： artemis-server： 通过 channel0 上的 CORE SUBSCRIBE_TOPOLOGY_V2泄露预认证拓扑 [eap-8.1.z] （CVE-2026-49363）

    * undertow-websockets-jsr：undertow：带有任何@OnMessage方法的 @ServerEndpoint 类的 websocket 端点上的 Pre-Auth DoS [eap-8.1.z] （CVE-2026-15565）

    * wildfly-iiop-openjdk：Wildfly：IIOP 监听器上的预认证拒绝服务 [eap-8.1.z] （CVE-2026-15567）

    * cxf-rt-transports-jms：Apache CXF：通过不受信任的 JMS 配置执行任意代码 [eap-8.1.z] （CVE-2026-50632）

    * cxf-core：Apache CXF：由于缺少 JAXP 强化，通过带外外部实体解析造成信息泄露 [eap-8.1.z] （CVE-2026-49875）

    * wildfly-elytron-asn1：在 WildFly Elytron ASN.1 DERDecoder 中，通过特别构建的 DER 负载进行无限内存分配 [eap-8.1.z] （CVE-2026-10832）

    * cxf-rt-transports-jms：Apache CXF：通过不受信任的 JMS 配置进行的远程代码执行 [eap-8.1.z] （CVE-2026-44417）

    * wildfly-elytron-realm-token：EAP 的 elytron oauth2 中的参数注入 [eap-8.1.z] （CVE-2026-85511）

    * jakarta.faces：mojarra：通过 ui：include 中的 EL 注入，EAP JSF 应用程序中未经身份验证的 RCE [eap-8.1.z] （CVE-2026-46581）

    * wildfly-iiop-openjdk：EAP 的 IIOP 名称服务缺少认证会导致 MITM 或 DoS [eap-8.1.z] （CVE-2026-15563）

    * jboss-remoting： jboss-remoting：MessageReader 中的整数溢出导致预先认证拒绝服务 [eap-8.1.z] （CVE-2026-15562）

    * undertow-core：通过 EAP 的 Undertow 中分块拖尾片中的缺少限制造成 OOM [eap-8.1.z] （CVE-2026-15561）

    * openjdk-orb：通过 EAP 中的 IIOP 加载未经身份验证的类 [eap-8.1.z] （CVE-2026-15560）

    * artemis-server：通过缺少认证进行的 Apache Artemis 会话劫持 [eap-8.1.z] （CVE-2026-57967）

    * wildfly-clustering-infinispan-marshalling：通过 Unfiltered River Unmarshaller 的 Jboss 反序列化 RCE [eap-8.1.z] （CVE-2026-15555）

    * undertow-core： undertow：通过 AJP ssl_cert/is_ssl 伪造绕过身份验证 [eap-8.1.z] （CVE-2026-15554）

    * jgroups：通过 jgroups 欺骗泄漏 Artemis 群集密码 [eap-8.1.z] （CVE-2026-49364）

    * artemis-server：artemis 核心协议允许未经认证的队列创建 [eap-8.1.z] （CVE-2026-49362）

    * artemis-server：Red Hat EAP 中的 artemis 消息处理程序默认允许反序列化 [eap-8.1.z] （CVE-2026-86404）

    * undertow-core： undertow：通过 WebSocket permessage-deflate 处理造成拒绝服务 [eap-8.1.z] （CVE-2026-5680）

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 10 主機上安裝的套件受到 RHSA-2026:70230 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 8 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 8.1.8 是 Red Hat JBoss Enterprise Application Platform 8.1.7 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 8.1.8 版本資訊。

    安全性修正：

    * jackson-core： jackson-core： 透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * netty-codec-http2： Netty：透過 SPDY 轉 HTTP 編解碼器中的記憶體耗盡造成拒絕服務 [eap-8.1.z] （CVE-2026-56745）

    * netty-handler： Netty：透過 OpenSSL 用戶端路徑設定錯誤繞過 TLS 主機名稱驗證 [eap-8.1.z] （CVE-2026-62243）

    * bcpg-jdk18on： Bouncy Castle for Java：由於不受限制的 OpenPGP 使用者屬性子封包長度而導致的拒絕服務 [eap-8.1.z] （CVE-2026-59649）

    * jackson-databind： jackson-databind： 忽略的屬性可能會被意外修改 [eap-8.1.z] （CVE-2026-54515）

    * jackson-databind： Jackson-databind： 透過不當處理@JsonUnwrapped屬性導致權限提升 [eap-8.1.z] （CVE-2026-59889）

    * netty-codec-dns： netty：網域名稱格式錯誤的 DNS 記錄解碼器中記憶體洩漏造成拒絕服務 [eap-8.1.z] （CVE-2026-73508）

    * jboss-eap.1-runtime-maven-repository.zip： jackson-core：透過非同步 JSON 剖析器中不完整的修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * jboss-eap-runtime-maven-repository.zip： jackson-core：透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * bcprov-jdk18on：不受限制的 PGP AEAD 區塊大小導致預先驗證資源耗盡 [eap-8.1.z] （CVE-2026-3505）

    * brace-expansion： brace-expansion： 透過無限中間陣列造成拒絕服務 [eap-8.1.z] （CVE-2026-69152）

    * netty-codec-http： Netty： netty-codec-http 中的記憶體耗盡（解壓縮炸彈） [eap-8.1.z] （CVE-2026-59899）

    * netty-codec-http： Netty： 安全性控制繞過允許透過 null 來源標頭提出未經授權的要求 [eap-8.1.z] （CVE-2026-56746）

    * netty-codec-http： Netty：透過 SPDY-to-HTTP 編解碼器中的記憶體耗盡造成拒絕服務 [eap-8.1.z] （CVE-2026-56745）

    * netty-codec-http： netty：透過 SPDY SETTINGS 框架處理的拒絕服務 [eap-8.1.z] （CVE-2026-55831）

    * netty-codec-http： netty：透過 SPDY 標頭解壓縮放大的拒絕服務 [eap-8.1.z] （CVE-2026-55833）

    * jackson-databind： Jackson-databind： 安全繞過允許任意程式碼執行 [eap-8.1.z] （CVE-2026-54513）

    * jackson-databind： jackson-databind： 透過 PolymorphicTypeValidator 繞過任意程式碼執行 [eap-8.1.z] （CVE-2026-54512）

    * undertow-core：透過過大區塊大小位元重疊走私 Undertow：HTTP 要求 [eap-8.1.z] （CVE-2026-14180）

    * artemis-server： artemis-server： 透過 channel0 上的 CORE SUBSCRIBE_TOPOLOGY_V2 洩露預先驗證拓撲 [eap-8.1.z] （CVE-2026-49363）

    * undertow-websockets-jsr： undertow：使用任何@OnMessage方法在具有@ServerEndpoint類別的 websocket 端點上進行預先驗證 DoS [eap-8.1.z] （CVE-2026-15565）

    * wildfly-iiop-openjdk： Wildfly：IIOP 接聽程式上的預先驗證拒絕服務 [eap-8.1.z] （CVE-2026-15567）

    * cxf-rt-transports-jms： Apache CXF： 透過不受信任的 JMS 組態執行任意程式碼 [eap-8.1.z] （CVE-2026-50632）

    * cxf-core：Apache CXF：由於缺少 JAXP 強化，透過頻外外部實體解析洩露資訊 [eap-8.1.z] （CVE-2026-49875）

    * wildfly-elytron-asn1：透過特製的 DER 負載，在 WildFly Elytron ASN.1 DERDecoder 中進行無限記憶體分配 [eap-8.1.z] （CVE-2026-10832）

    * cxf-rt-transports-jms： Apache CXF：透過不受信任的 JMS 組態執行遠端程式碼 [eap-8.1.z] （CVE-2026-44417）

    * wildfly-elytron-realm-token：EAP 的 elytron oauth2 中的參數插入 [eap-8.1.z] （CVE-2026-85511）

    * jakarta.faces： mojarra：透過 ui：include 中的 EL 插入，EAP JSF 應用程式中未經身份驗證的 RCE [eap-8.1.z] （CVE-2026-46581）

    * wildfly-iiop-openjdk：缺少 EAP 的 IIOP NameService 驗證會導致 MITM 或 DoS [eap-8.1.z] （CVE-2026-15563）

    * jboss-remoting： jboss-remoting：MessageReader 中的整數溢位導致預先驗證拒絕服務 [eap-8.1.z] （CVE-2026-15562）

    * undertow-core：透過 EAP 的 Undertow 中區塊預告片中缺少限制的 OOM [eap-8.1.z] （CVE-2026-15561）

    * openjdk-orb：在 EAP 中透過 IIOP 載入未經授權的類別 [eap-8.1.z] （CVE-2026-15560）

    * artemis-server：透過缺少驗證的 Apache Artemis 工作階段劫持 [eap-8.1.z] （CVE-2026-57967）

    * wildfly-clustering-infinispan-marshalling：透過 Unfiltered River Unmarshaller 的 Jboss 反序列化 RCE [eap-8.1.z] （CVE-2026-15555）

    * undertow-core： Undertow：透過 AJP ssl_cert/is_ssl 偽造繞過身份驗證 [eap-8.1.z] （CVE-2026-15554）

    * jgroups：透過 JGROUPS 詐騙洩露 Artemis 叢集密碼 [eap-8.1.z] （CVE-2026-49364）

    * artemis-server：artemis 核心通訊協定允許建立未經授權的佇列 [eap-8.1.z] （CVE-2026-49362）

    * artemis-server：Red Hat EAP 中的 artemis 訊息處理常式預設允許反序列化 [eap-8.1.z] （CVE-2026-86404）

    * undertow-core： Undertow：透過 WebSocket permessage-deflate 處理的拒絕服務 [eap-8.1.z] （CVE-2026-5680）

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2026:70228 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 8 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 8.1.8 是 Red Hat JBoss Enterprise Application Platform 8.1.7 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 8.1.8 版本資訊。

    安全性修正：

    * jackson-core： jackson-core： 透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * netty-codec-http2： Netty：透過 SPDY 轉 HTTP 編解碼器中的記憶體耗盡造成拒絕服務 [eap-8.1.z] （CVE-2026-56745）

    * netty-handler： Netty：透過 OpenSSL 用戶端路徑設定錯誤繞過 TLS 主機名稱驗證 [eap-8.1.z] （CVE-2026-62243）

    * bcpg-jdk18on： Bouncy Castle for Java：由於不受限制的 OpenPGP 使用者屬性子封包長度而導致的拒絕服務 [eap-8.1.z] （CVE-2026-59649）

    * jackson-databind： jackson-databind： 忽略的屬性可能會被意外修改 [eap-8.1.z] （CVE-2026-54515）

    * jackson-databind： Jackson-databind： 透過不當處理@JsonUnwrapped屬性導致權限提升 [eap-8.1.z] （CVE-2026-59889）

    * netty-codec-dns： netty：網域名稱格式錯誤的 DNS 記錄解碼器中記憶體洩漏造成拒絕服務 [eap-8.1.z] （CVE-2026-73508）

    * jboss-eap.1-runtime-maven-repository.zip： jackson-core：透過非同步 JSON 剖析器中不完整的修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * jboss-eap-runtime-maven-repository.zip： jackson-core：透過非同步 JSON 剖析器中的不完整修正造成拒絕服務 [eap-8.1.z] （CVE-2026-68494）

    * bcprov-jdk18on：不受限制的 PGP AEAD 區塊大小導致預先驗證資源耗盡 [eap-8.1.z] （CVE-2026-3505）

    * brace-expansion： brace-expansion： 透過無限中間陣列造成拒絕服務 [eap-8.1.z] （CVE-2026-69152）

    * netty-codec-http： Netty： netty-codec-http 中的記憶體耗盡（解壓縮炸彈） [eap-8.1.z] （CVE-2026-59899）

    * netty-codec-http： Netty： 安全性控制繞過允許透過 null 來源標頭提出未經授權的要求 [eap-8.1.z] （CVE-2026-56746）

    * netty-codec-http： Netty：透過 SPDY-to-HTTP 編解碼器中的記憶體耗盡造成拒絕服務 [eap-8.1.z] （CVE-2026-56745）

    * netty-codec-http： netty：透過 SPDY SETTINGS 框架處理的拒絕服務 [eap-8.1.z] （CVE-2026-55831）

    * netty-codec-http： netty：透過 SPDY 標頭解壓縮放大的拒絕服務 [eap-8.1.z] （CVE-2026-55833）

    * jackson-databind： Jackson-databind： 安全繞過允許任意程式碼執行 [eap-8.1.z] （CVE-2026-54513）

    * jackson-databind： jackson-databind： 透過 PolymorphicTypeValidator 繞過任意程式碼執行 [eap-8.1.z] （CVE-2026-54512）

    * undertow-core：透過過大區塊大小位元重疊走私 Undertow：HTTP 要求 [eap-8.1.z] （CVE-2026-14180）

    * artemis-server： artemis-server： 透過 channel0 上的 CORE SUBSCRIBE_TOPOLOGY_V2 洩露預先驗證拓撲 [eap-8.1.z] （CVE-2026-49363）

    * undertow-websockets-jsr： undertow：使用任何@OnMessage方法在具有@ServerEndpoint類別的 websocket 端點上進行預先驗證 DoS [eap-8.1.z] （CVE-2026-15565）

    * wildfly-iiop-openjdk： Wildfly：IIOP 接聽程式上的預先驗證拒絕服務 [eap-8.1.z] （CVE-2026-15567）

    * cxf-rt-transports-jms： Apache CXF： 透過不受信任的 JMS 組態執行任意程式碼 [eap-8.1.z] （CVE-2026-50632）

    * cxf-core：Apache CXF：由於缺少 JAXP 強化，透過頻外外部實體解析洩露資訊 [eap-8.1.z] （CVE-2026-49875）

    * wildfly-elytron-asn1：透過特製的 DER 負載，在 WildFly Elytron ASN.1 DERDecoder 中進行無限記憶體分配 [eap-8.1.z] （CVE-2026-10832）

    * cxf-rt-transports-jms： Apache CXF：透過不受信任的 JMS 組態執行遠端程式碼 [eap-8.1.z] （CVE-2026-44417）

    * wildfly-elytron-realm-token：EAP 的 elytron oauth2 中的參數插入 [eap-8.1.z] （CVE-2026-85511）

    * jakarta.faces： mojarra：透過 ui：include 中的 EL 插入，EAP JSF 應用程式中未經身份驗證的 RCE [eap-8.1.z] （CVE-2026-46581）

    * wildfly-iiop-openjdk：缺少 EAP 的 IIOP NameService 驗證會導致 MITM 或 DoS [eap-8.1.z] （CVE-2026-15563）

    * jboss-remoting： jboss-remoting：MessageReader 中的整數溢位導致預先驗證拒絕服務 [eap-8.1.z] （CVE-2026-15562）

    * undertow-core：透過 EAP 的 Undertow 中區塊預告片中缺少限制的 OOM [eap-8.1.z] （CVE-2026-15561）

    * openjdk-orb：在 EAP 中透過 IIOP 載入未經授權的類別 [eap-8.1.z] （CVE-2026-15560）

    * artemis-server：透過缺少驗證的 Apache Artemis 工作階段劫持 [eap-8.1.z] （CVE-2026-57967）

    * wildfly-clustering-infinispan-marshalling：透過 Unfiltered River Unmarshaller 的 Jboss 反序列化 RCE [eap-8.1.z] （CVE-2026-15555）

    * undertow-core： Undertow：透過 AJP ssl_cert/is_ssl 偽造繞過身份驗證 [eap-8.1.z] （CVE-2026-15554）

    * jgroups：透過 JGROUPS 詐騙洩露 Artemis 叢集密碼 [eap-8.1.z] （CVE-2026-49364）

    * artemis-server：artemis 核心通訊協定允許建立未經授權的佇列 [eap-8.1.z] （CVE-2026-49362）

    * artemis-server：Red Hat EAP 中的 artemis 訊息處理常式預設允許反序列化 [eap-8.1.z] （CVE-2026-86404）

    * undertow-core： Undertow：透過 WebSocket permessage-deflate 處理的拒絕服務 [eap-8.1.z] （CVE-2026-5680）

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2026:70229 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 8 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 8.1.8 のこのリリースは、Red Hat JBoss Enterprise Application Platform 8.1.7 に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 8.1.8 リリースノート』を参照してください。

    セキュリティ修正:

    * jackson-core: jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * netty-codec-http2:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-handler:Netty:OpenSSL クライアントパスの構成ミスによるTLSホスト名検証のバイパス [eap-8.1.z](CVE-2026-62243)

    * bcpg-jdk18on:Bouncy Castle for Java:OpenPGP ユーザー属性サブパケット長が際限のないことによるサービス拒否 [eap-8.1.z](CVE-2026-59649)

    * jackson-databind: jackson-databind:無視されたプロパティが予期せず変更される可能性があります [eap-8.1.z](CVE-2026-54515)

    * jackson-databind:jackson-databind:@JsonUnwrappedプロパティの不適切な処理による権限昇格[eap-8.1.z](CVE-2026-59889)

    * netty-codec-dns:netty:無効な形式のドメイン名を持つ DNS Record デコーダーでのメモリリークによるサービス拒否 [eap-8.1.z](CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * bcprov-jdk18on:無限の PGP AEAD チャンクサイズが事前認証リソースの枯渇につながります [eap-8.1.z](CVE-2026-3505)

    * brace-expansion: brace-expansion:無限の中間配列によるサービス拒否 [eap-8.1.z](CVE-2026-69152)

    * netty-codec-http: Netty:netty-codec-http でのメモリ枯渇(展開爆弾)[eap-8.1.z](CVE-2026-59899)

    * netty-codec-http:Netty:セキュリティコントロールバイパスにより、NULL 生成元ヘッダーを介した認証されていないリクエストが可能 [eap-8.1.z](CVE-2026-56746)

    * netty-codec-http:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-codec-http:Netty:SPDY SETTINGS フレーム処理によるサービス拒否 [eap-8.1.z](CVE-2026-55831)

    * netty-codec-http:Netty:SPDY ヘッダー展開増幅によるサービス拒否 [eap-8.1.z](CVE-2026-55833)

    * jackson-databind:jackson-databind:セキュリティバイパスにより任意のコードが実行される可能性があります[eap-8.1.z](CVE-2026-54513)

    * jackson-databind: jackson-databind:PolymorphicTypeValidator バイパスによる任意のコードの実行 [eap-8.1.z](CVE-2026-54512)

    * undertow-core:オーバーサイズチャンクサイズのビットオーバーラップを介した Undertow:HTTP リクエストスマグリング [eap-8.1.z](CVE-2026-14180)

    * artemis-server: artemis-server:channel0 の CORE SUBSCRIBE_TOPOLOGY_V2を介した事前認証トポロジー漏洩 [eap-8.1.z](CVE-2026-49363)

    * undertow-websockets-jsr:undertow:任意の @OnMessage メソッドで @ServerEndpoint クラスを持つ websocket エンドポイントでの事前認証 DoS [eap-8.1.z](CVE-2026-15565)

    * wildfly-iiop-openjdk:Wildfly:IIOP リスナーでの事前認証のサービス拒否 [eap-8.1.z](CVE-2026-15567)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成による任意のコードの実行 [eap-8.1.z](CVE-2026-50632)

    * cxf-core:Apache CXF:JAXP 堅牢化がないことによる帯域外外部エンティティ解決を介した情報漏洩 [eap-8.1.z](CVE-2026-49875)

    * wildfly-elytron-asn1:細工された DER ペイロードを介した WildFly Elytron ASN.1 DERDecoder における際限のないメモリ割り当て [eap-8.1.z](CVE-2026-10832)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成によるリモートコード実行 [eap-8.1.z](CVE-2026-44417)

    * wildfly-elytron-realm-token:EAP の elytron oauth2 でのパラメーターインジェクション [eap-8.1.z](CVE-2026-85511)

    * jakarta.faces:mojarra:ui:include での EL インジェクションによる、EAP JSF アプリケーションにおける認証されていない RCE [eap-8.1.z](CVE-2026-46581)

    * wildfly-iiop-openjdk:EAP の IIOP NameService に認証がないことが、MITM または DoS につながります [eap-8.1.z](CVE-2026-15563)

    * jboss-remoting:jboss-remoting:MessageReader の整数オーバーフローにより、事前認証のサービス拒否が発生します [eap-8.1.z](CVE-2026-15562)

    * undertow-core:EAP の Undertow におけるチャンクトレーラーの制限の欠如による OOM [eap-8.1.z](CVE-2026-15561)

    * openjdk-orb:EAP の IIOP 経由の認証されていないクラス読み込み [eap-8.1.z](CVE-2026-15560)

    * artemis-server:認証の欠如による Artemis セッションハイジャックのApache [eap-8.1.z](CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling:フィルタリングされていない River Unmarshaller を介した Jboss の逆シリアル化 RCE [eap-8.1.z](CVE-2026-15555)

    * undertow-core:Undertow:AJP ssl_cert/is_ssl 偽造を介した認証バイパス [eap-8.1.z](CVE-2026-15554)

    * jgroups:JGroupsのなりすましによるArtemisクラスタパスワードの漏えい[EAP-8.1.z](CVE-2026-49364)

    * artemis-server:artemis コアプロトコルにより、認証されていないキュー作成が許可されます [eap-8.1.z](CVE-2026-49362)

    * artemis-server:Red Hat EAP の artemis メッセージングハンドラーは、デフォルトで逆シリアル化を許可します [eap-8.1.z](CVE-2026-86404)

    * undertow-core:Undertow:WebSocket permessage-deflate 処理によるサービス拒否 [eap-8.1.z](CVE-2026-5680)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 10 ホストに、RHSA-2026:70230 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 8 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 8.1.8 のこのリリースは、Red Hat JBoss Enterprise Application Platform 8.1.7 に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 8.1.8 リリースノート』を参照してください。

    セキュリティ修正:

    * jackson-core: jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * netty-codec-http2:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-handler:Netty:OpenSSL クライアントパスの構成ミスによるTLSホスト名検証のバイパス [eap-8.1.z](CVE-2026-62243)

    * bcpg-jdk18on:Bouncy Castle for Java:OpenPGP ユーザー属性サブパケット長が際限のないことによるサービス拒否 [eap-8.1.z](CVE-2026-59649)

    * jackson-databind: jackson-databind:無視されたプロパティが予期せず変更される可能性があります [eap-8.1.z](CVE-2026-54515)

    * jackson-databind:jackson-databind:@JsonUnwrappedプロパティの不適切な処理による権限昇格[eap-8.1.z](CVE-2026-59889)

    * netty-codec-dns:netty:無効な形式のドメイン名を持つ DNS Record デコーダーでのメモリリークによるサービス拒否 [eap-8.1.z](CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * bcprov-jdk18on:無限の PGP AEAD チャンクサイズが事前認証リソースの枯渇につながります [eap-8.1.z](CVE-2026-3505)

    * brace-expansion: brace-expansion:無限の中間配列によるサービス拒否 [eap-8.1.z](CVE-2026-69152)

    * netty-codec-http: Netty:netty-codec-http でのメモリ枯渇(展開爆弾)[eap-8.1.z](CVE-2026-59899)

    * netty-codec-http:Netty:セキュリティコントロールバイパスにより、NULL 生成元ヘッダーを介した認証されていないリクエストが可能 [eap-8.1.z](CVE-2026-56746)

    * netty-codec-http:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-codec-http:Netty:SPDY SETTINGS フレーム処理によるサービス拒否 [eap-8.1.z](CVE-2026-55831)

    * netty-codec-http:Netty:SPDY ヘッダー展開増幅によるサービス拒否 [eap-8.1.z](CVE-2026-55833)

    * jackson-databind:jackson-databind:セキュリティバイパスにより任意のコードが実行される可能性があります[eap-8.1.z](CVE-2026-54513)

    * jackson-databind: jackson-databind:PolymorphicTypeValidator バイパスによる任意のコードの実行 [eap-8.1.z](CVE-2026-54512)

    * undertow-core:オーバーサイズチャンクサイズのビットオーバーラップを介した Undertow:HTTP リクエストスマグリング [eap-8.1.z](CVE-2026-14180)

    * artemis-server: artemis-server:channel0 の CORE SUBSCRIBE_TOPOLOGY_V2を介した事前認証トポロジー漏洩 [eap-8.1.z](CVE-2026-49363)

    * undertow-websockets-jsr:undertow:任意の @OnMessage メソッドで @ServerEndpoint クラスを持つ websocket エンドポイントでの事前認証 DoS [eap-8.1.z](CVE-2026-15565)

    * wildfly-iiop-openjdk:Wildfly:IIOP リスナーでの事前認証のサービス拒否 [eap-8.1.z](CVE-2026-15567)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成による任意のコードの実行 [eap-8.1.z](CVE-2026-50632)

    * cxf-core:Apache CXF:JAXP 堅牢化がないことによる帯域外外部エンティティ解決を介した情報漏洩 [eap-8.1.z](CVE-2026-49875)

    * wildfly-elytron-asn1:細工された DER ペイロードを介した WildFly Elytron ASN.1 DERDecoder における際限のないメモリ割り当て [eap-8.1.z](CVE-2026-10832)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成によるリモートコード実行 [eap-8.1.z](CVE-2026-44417)

    * wildfly-elytron-realm-token:EAP の elytron oauth2 でのパラメーターインジェクション [eap-8.1.z](CVE-2026-85511)

    * jakarta.faces:mojarra:ui:include での EL インジェクションによる、EAP JSF アプリケーションにおける認証されていない RCE [eap-8.1.z](CVE-2026-46581)

    * wildfly-iiop-openjdk:EAP の IIOP NameService に認証がないことが、MITM または DoS につながります [eap-8.1.z](CVE-2026-15563)

    * jboss-remoting:jboss-remoting:MessageReader の整数オーバーフローにより、事前認証のサービス拒否が発生します [eap-8.1.z](CVE-2026-15562)

    * undertow-core:EAP の Undertow におけるチャンクトレーラーの制限の欠如による OOM [eap-8.1.z](CVE-2026-15561)

    * openjdk-orb:EAP の IIOP 経由の認証されていないクラス読み込み [eap-8.1.z](CVE-2026-15560)

    * artemis-server:認証の欠如による Artemis セッションハイジャックのApache [eap-8.1.z](CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling:フィルタリングされていない River Unmarshaller を介した Jboss の逆シリアル化 RCE [eap-8.1.z](CVE-2026-15555)

    * undertow-core:Undertow:AJP ssl_cert/is_ssl 偽造を介した認証バイパス [eap-8.1.z](CVE-2026-15554)

    * jgroups:JGroupsのなりすましによるArtemisクラスタパスワードの漏えい[EAP-8.1.z](CVE-2026-49364)

    * artemis-server:artemis コアプロトコルにより、認証されていないキュー作成が許可されます [eap-8.1.z](CVE-2026-49362)

    * artemis-server:Red Hat EAP の artemis メッセージングハンドラーは、デフォルトで逆シリアル化を許可します [eap-8.1.z](CVE-2026-86404)

    * undertow-core:Undertow:WebSocket permessage-deflate 処理によるサービス拒否 [eap-8.1.z](CVE-2026-5680)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2026:70228 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 8 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 8.1.8 のこのリリースは、Red Hat JBoss Enterprise Application Platform 8.1.7 に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 8.1.8 リリースノート』を参照してください。

    セキュリティ修正:

    * jackson-core: jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * netty-codec-http2:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-handler:Netty:OpenSSL クライアントパスの構成ミスによるTLSホスト名検証のバイパス [eap-8.1.z](CVE-2026-62243)

    * bcpg-jdk18on:Bouncy Castle for Java:OpenPGP ユーザー属性サブパケット長が際限のないことによるサービス拒否 [eap-8.1.z](CVE-2026-59649)

    * jackson-databind: jackson-databind:無視されたプロパティが予期せず変更される可能性があります [eap-8.1.z](CVE-2026-54515)

    * jackson-databind:jackson-databind:@JsonUnwrappedプロパティの不適切な処理による権限昇格[eap-8.1.z](CVE-2026-59889)

    * netty-codec-dns:netty:無効な形式のドメイン名を持つ DNS Record デコーダーでのメモリリークによるサービス拒否 [eap-8.1.z](CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip:jackson-core:非同期 JSON パーサーの不完全な修正によるサービス拒否 [eap-8.1.z](CVE-2026-68494)

    * bcprov-jdk18on:無限の PGP AEAD チャンクサイズが事前認証リソースの枯渇につながります [eap-8.1.z](CVE-2026-3505)

    * brace-expansion: brace-expansion:無限の中間配列によるサービス拒否 [eap-8.1.z](CVE-2026-69152)

    * netty-codec-http: Netty:netty-codec-http でのメモリ枯渇(展開爆弾)[eap-8.1.z](CVE-2026-59899)

    * netty-codec-http:Netty:セキュリティコントロールバイパスにより、NULL 生成元ヘッダーを介した認証されていないリクエストが可能 [eap-8.1.z](CVE-2026-56746)

    * netty-codec-http:Netty:SPDY-to-HTTP コーデックでのメモリ枯渇によるサービス拒否 [eap-8.1.z](CVE-2026-56745)

    * netty-codec-http:Netty:SPDY SETTINGS フレーム処理によるサービス拒否 [eap-8.1.z](CVE-2026-55831)

    * netty-codec-http:Netty:SPDY ヘッダー展開増幅によるサービス拒否 [eap-8.1.z](CVE-2026-55833)

    * jackson-databind:jackson-databind:セキュリティバイパスにより任意のコードが実行される可能性があります[eap-8.1.z](CVE-2026-54513)

    * jackson-databind: jackson-databind:PolymorphicTypeValidator バイパスによる任意のコードの実行 [eap-8.1.z](CVE-2026-54512)

    * undertow-core:オーバーサイズチャンクサイズのビットオーバーラップを介した Undertow:HTTP リクエストスマグリング [eap-8.1.z](CVE-2026-14180)

    * artemis-server: artemis-server:channel0 の CORE SUBSCRIBE_TOPOLOGY_V2を介した事前認証トポロジー漏洩 [eap-8.1.z](CVE-2026-49363)

    * undertow-websockets-jsr:undertow:任意の @OnMessage メソッドで @ServerEndpoint クラスを持つ websocket エンドポイントでの事前認証 DoS [eap-8.1.z](CVE-2026-15565)

    * wildfly-iiop-openjdk:Wildfly:IIOP リスナーでの事前認証のサービス拒否 [eap-8.1.z](CVE-2026-15567)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成による任意のコードの実行 [eap-8.1.z](CVE-2026-50632)

    * cxf-core:Apache CXF:JAXP 堅牢化がないことによる帯域外外部エンティティ解決を介した情報漏洩 [eap-8.1.z](CVE-2026-49875)

    * wildfly-elytron-asn1:細工された DER ペイロードを介した WildFly Elytron ASN.1 DERDecoder における際限のないメモリ割り当て [eap-8.1.z](CVE-2026-10832)

    * cxf-rt-transports-jms:Apache CXF:信頼できない JMS 構成によるリモートコード実行 [eap-8.1.z](CVE-2026-44417)

    * wildfly-elytron-realm-token:EAP の elytron oauth2 でのパラメーターインジェクション [eap-8.1.z](CVE-2026-85511)

    * jakarta.faces:mojarra:ui:include での EL インジェクションによる、EAP JSF アプリケーションにおける認証されていない RCE [eap-8.1.z](CVE-2026-46581)

    * wildfly-iiop-openjdk:EAP の IIOP NameService に認証がないことが、MITM または DoS につながります [eap-8.1.z](CVE-2026-15563)

    * jboss-remoting:jboss-remoting:MessageReader の整数オーバーフローにより、事前認証のサービス拒否が発生します [eap-8.1.z](CVE-2026-15562)

    * undertow-core:EAP の Undertow におけるチャンクトレーラーの制限の欠如による OOM [eap-8.1.z](CVE-2026-15561)

    * openjdk-orb:EAP の IIOP 経由の認証されていないクラス読み込み [eap-8.1.z](CVE-2026-15560)

    * artemis-server:認証の欠如による Artemis セッションハイジャックのApache [eap-8.1.z](CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling:フィルタリングされていない River Unmarshaller を介した Jboss の逆シリアル化 RCE [eap-8.1.z](CVE-2026-15555)

    * undertow-core:Undertow:AJP ssl_cert/is_ssl 偽造を介した認証バイパス [eap-8.1.z](CVE-2026-15554)

    * jgroups:JGroupsのなりすましによるArtemisクラスタパスワードの漏えい[EAP-8.1.z](CVE-2026-49364)

    * artemis-server:artemis コアプロトコルにより、認証されていないキュー作成が許可されます [eap-8.1.z](CVE-2026-49362)

    * artemis-server:Red Hat EAP の artemis メッセージングハンドラーは、デフォルトで逆シリアル化を許可します [eap-8.1.z](CVE-2026-86404)

    * undertow-core:Undertow:WebSocket permessage-deflate 処理によるサービス拒否 [eap-8.1.z](CVE-2026-5680)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2026:70230 advisory.

    Red Hat JBoss Enterprise Application Platform 8 is a platform for Java applications based on the WildFly     application runtime. This release of Red Hat JBoss  Enterprise Application Platform 8.1.8 serves as a     replacement for Red Hat JBoss Enterprise Application Platform 8.1.7, and includes bug fixes and     enhancements. See the Red Hat JBoss Enterprise Application Platform 8.1.8 Release Notes for information     about the most significant bug fixes and enhancements included in this release.

    Security Fix(es):

    * jackson-core: jackson-core: Denial of Service via incomplete fix in async JSON parser [eap-8.1.z]     (CVE-2026-68494)

    * netty-codec-http2: Netty: Denial of Service via memory exhaustion in SPDY-to-HTTP codec [eap-8.1.z]     (CVE-2026-56745)

    * netty-handler: Netty: TLS hostname verification bypass via OpenSSL client path misconfiguration     [eap-8.1.z] (CVE-2026-62243)

    * bcpg-jdk18on: Bouncy Castle for Java: Denial of Service due to unbounded OpenPGP user-attribute     subpacket length [eap-8.1.z] (CVE-2026-59649)

    * jackson-databind: jackson-databind: Ignored properties can be unexpectedly modified [eap-8.1.z]     (CVE-2026-54515)

    * jackson-databind: Jackson-databind: Privilege escalation via improper handling of @JsonUnwrapped     properties [eap-8.1.z] (CVE-2026-59889)

    * netty-codec-dns: Netty: Denial of Service via Memory Leak in DNS Record Decoder with Malformed Domain     Names [eap-8.1.z] (CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip: jackson-core: Denial of Service via incomplete fix in async     JSON parser [eap-8.1.z] (CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip: jackson-core: Denial of Service via incomplete fix in async JSON     parser [eap-8.1.z] (CVE-2026-68494)

    * bcprov-jdk18on: unbounded PGP AEAD chunk size leads to pre-auth resource exhaustion [eap-8.1.z]     (CVE-2026-3505)

    * brace-expansion: brace-expansion: Denial of Service via unbounded intermediate arrays [eap-8.1.z]     (CVE-2026-69152)

    * netty-codec-http: Netty: Memory exhaustion in netty-codec-http (decompression bomb) [eap-8.1.z]     (CVE-2026-59899)

    * netty-codec-http: Netty: Security control bypass allows unauthorized requests via null origin header     [eap-8.1.z] (CVE-2026-56746)

    * netty-codec-http: Netty: Denial of Service via memory exhaustion in SPDY-to-HTTP codec [eap-8.1.z]     (CVE-2026-56745)

    * netty-codec-http: Netty: Denial of Service via SPDY SETTINGS frame processing [eap-8.1.z]     (CVE-2026-55831)

    * netty-codec-http: Netty: Denial of Service via SPDY header decompression amplification [eap-8.1.z]     (CVE-2026-55833)

    * jackson-databind: Jackson-databind: Security bypass allows arbitrary code execution [eap-8.1.z]     (CVE-2026-54513)

    * jackson-databind: jackson-databind: Arbitrary code execution via PolymorphicTypeValidator bypass     [eap-8.1.z] (CVE-2026-54512)

    * undertow-core: Undertow:HTTP request smuggling via oversized chunk-size bit overlap [eap-8.1.z]     (CVE-2026-14180)

    * artemis-server: artemis-server: Pre-auth topology disclosure via CORE SUBSCRIBE_TOPOLOGY_V2 on channel0     [eap-8.1.z] (CVE-2026-49363)

    * undertow-websockets-jsr: Undertow: Pre-Auth DoS on websocket endpoint with @ServerEndpoint class with     any @OnMessage method [eap-8.1.z] (CVE-2026-15565)

    * wildfly-iiop-openjdk: Wildfly: Pre-auth denial of service on the IIOP listener [eap-8.1.z]     (CVE-2026-15567)

    * cxf-rt-transports-jms: Apache CXF: Arbitrary code execution via untrusted JMS configuration [eap-8.1.z]     (CVE-2026-50632)

    * cxf-core: Apache CXF: Information disclosure via out-of-band external entity resolution due to missing     JAXP hardening [eap-8.1.z] (CVE-2026-49875)

    * wildfly-elytron-asn1: Unbounded Memory Allocation in WildFly Elytron ASN.1 DERDecoder via Crafted DER     Payload [eap-8.1.z] (CVE-2026-10832)

    * cxf-rt-transports-jms: Apache CXF: Remote Code Execution via untrusted JMS configuration [eap-8.1.z]     (CVE-2026-44417)

    * wildfly-elytron-realm-token: parameter injection in EAP's elytron oauth2 [eap-8.1.z] (CVE-2026-85511)

    * jakarta.faces: mojarra: Unauthenticated RCE in EAP JSF applications via EL injection in ui:include     [eap-8.1.z] (CVE-2026-46581)

    * wildfly-iiop-openjdk: Missing authentication on EAP's IIOP NameService leads to MITM or DoS [eap-8.1.z]     (CVE-2026-15563)

    * jboss-remoting: jboss-remoting: integer overflow in MessageReader leads to pre-authentication denial of     service [eap-8.1.z] (CVE-2026-15562)

    * undertow-core: OOM via missing limits in chunked trailer in EAP's Undertow [eap-8.1.z] (CVE-2026-15561)

    * openjdk-orb: unauthed class loading via IIOP in EAP [eap-8.1.z] (CVE-2026-15560)

    * artemis-server: Apache Artemis  session hijack via missing authentication [eap-8.1.z]     (CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling: Jboss Deserialization RCE via Unfiltered River Unmarshaller     [eap-8.1.z] (CVE-2026-15555)

    * undertow-core: Undertow: Authentication Bypass via AJP ssl_cert/is_ssl Forgery [eap-8.1.z]     (CVE-2026-15554)

    * jgroups: artemis cluster password leak via jgroups spoof [eap-8.1.z] (CVE-2026-49364)

    * artemis-server: artemis core protocol permits unauthed queue creation [eap-8.1.z] (CVE-2026-49362)

    * artemis-server: artemis messaging handlers in Red Hat EAP permit deserialization by default [eap-8.1.z]     (CVE-2026-86404)

    * undertow-core: Undertow: Denial of Service via WebSocket permessage-deflate processing [eap-8.1.z]     (CVE-2026-5680)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2026:70228 advisory.

    Red Hat JBoss Enterprise Application Platform 8 is a platform for Java applications based on the WildFly     application runtime. This release of Red Hat JBoss  Enterprise Application Platform 8.1.8 serves as a     replacement for Red Hat JBoss Enterprise Application Platform 8.1.7, and includes bug fixes and     enhancements. See the Red Hat JBoss Enterprise Application Platform 8.1.8 Release Notes for information     about the most significant bug fixes and enhancements included in this release.

    Security Fix(es):

    * jackson-core: jackson-core: Denial of Service via incomplete fix in async JSON parser [eap-8.1.z]     (CVE-2026-68494)

    * netty-codec-http2: Netty: Denial of Service via memory exhaustion in SPDY-to-HTTP codec [eap-8.1.z]     (CVE-2026-56745)

    * netty-handler: Netty: TLS hostname verification bypass via OpenSSL client path misconfiguration     [eap-8.1.z] (CVE-2026-62243)

    * bcpg-jdk18on: Bouncy Castle for Java: Denial of Service due to unbounded OpenPGP user-attribute     subpacket length [eap-8.1.z] (CVE-2026-59649)

    * jackson-databind: jackson-databind: Ignored properties can be unexpectedly modified [eap-8.1.z]     (CVE-2026-54515)

    * jackson-databind: Jackson-databind: Privilege escalation via improper handling of @JsonUnwrapped     properties [eap-8.1.z] (CVE-2026-59889)

    * netty-codec-dns: Netty: Denial of Service via Memory Leak in DNS Record Decoder with Malformed Domain     Names [eap-8.1.z] (CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip: jackson-core: Denial of Service via incomplete fix in async     JSON parser [eap-8.1.z] (CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip: jackson-core: Denial of Service via incomplete fix in async JSON     parser [eap-8.1.z] (CVE-2026-68494)

    * bcprov-jdk18on: unbounded PGP AEAD chunk size leads to pre-auth resource exhaustion [eap-8.1.z]     (CVE-2026-3505)

    * brace-expansion: brace-expansion: Denial of Service via unbounded intermediate arrays [eap-8.1.z]     (CVE-2026-69152)

    * netty-codec-http: Netty: Memory exhaustion in netty-codec-http (decompression bomb) [eap-8.1.z]     (CVE-2026-59899)

    * netty-codec-http: Netty: Security control bypass allows unauthorized requests via null origin header     [eap-8.1.z] (CVE-2026-56746)

    * netty-codec-http: Netty: Denial of Service via memory exhaustion in SPDY-to-HTTP codec [eap-8.1.z]     (CVE-2026-56745)

    * netty-codec-http: Netty: Denial of Service via SPDY SETTINGS frame processing [eap-8.1.z]     (CVE-2026-55831)

    * netty-codec-http: Netty: Denial of Service via SPDY header decompression amplification [eap-8.1.z]     (CVE-2026-55833)

    * jackson-databind: Jackson-databind: Security bypass allows arbitrary code execution [eap-8.1.z]     (CVE-2026-54513)

    * jackson-databind: jackson-databind: Arbitrary code execution via PolymorphicTypeValidator bypass     [eap-8.1.z] (CVE-2026-54512)

    * undertow-core: Undertow:HTTP request smuggling via oversized chunk-size bit overlap [eap-8.1.z]     (CVE-2026-14180)

    * artemis-server: artemis-server: Pre-auth topology disclosure via CORE SUBSCRIBE_TOPOLOGY_V2 on channel0     [eap-8.1.z] (CVE-2026-49363)

    * undertow-websockets-jsr: Undertow: Pre-Auth DoS on websocket endpoint with @ServerEndpoint class with     any @OnMessage method [eap-8.1.z] (CVE-2026-15565)

    * wildfly-iiop-openjdk: Wildfly: Pre-auth denial of service on the IIOP listener [eap-8.1.z]     (CVE-2026-15567)

    * cxf-rt-transports-jms: Apache CXF: Arbitrary code execution via untrusted JMS configuration [eap-8.1.z]     (CVE-2026-50632)

    * cxf-core: Apache CXF: Information disclosure via out-of-band external entity resolution due to missing     JAXP hardening [eap-8.1.z] (CVE-2026-49875)

    * wildfly-elytron-asn1: Unbounded Memory Allocation in WildFly Elytron ASN.1 DERDecoder via Crafted DER     Payload [eap-8.1.z] (CVE-2026-10832)

    * cxf-rt-transports-jms: Apache CXF: Remote Code Execution via untrusted JMS configuration [eap-8.1.z]     (CVE-2026-44417)

    * wildfly-elytron-realm-token: parameter injection in EAP's elytron oauth2 [eap-8.1.z] (CVE-2026-85511)

    * jakarta.faces: mojarra: Unauthenticated RCE in EAP JSF applications via EL injection in ui:include     [eap-8.1.z] (CVE-2026-46581)

    * wildfly-iiop-openjdk: Missing authentication on EAP's IIOP NameService leads to MITM or DoS [eap-8.1.z]     (CVE-2026-15563)

    * jboss-remoting: jboss-remoting: integer overflow in MessageReader leads to pre-authentication denial of     service [eap-8.1.z] (CVE-2026-15562)

    * undertow-core: OOM via missing limits in chunked trailer in EAP's Undertow [eap-8.1.z] (CVE-2026-15561)

    * openjdk-orb: unauthed class loading via IIOP in EAP [eap-8.1.z] (CVE-2026-15560)

    * artemis-server: Apache Artemis  session hijack via missing authentication [eap-8.1.z]     (CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling: Jboss Deserialization RCE via Unfiltered River Unmarshaller     [eap-8.1.z] (CVE-2026-15555)

    * undertow-core: Undertow: Authentication Bypass via AJP ssl_cert/is_ssl Forgery [eap-8.1.z]     (CVE-2026-15554)

    * jgroups: artemis cluster password leak via jgroups spoof [eap-8.1.z] (CVE-2026-49364)

    * artemis-server: artemis core protocol permits unauthed queue creation [eap-8.1.z] (CVE-2026-49362)

    * artemis-server: artemis messaging handlers in Red Hat EAP permit deserialization by default [eap-8.1.z]     (CVE-2026-86404)

    * undertow-core: Undertow: Denial of Service via WebSocket permessage-deflate processing [eap-8.1.z]     (CVE-2026-5680)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2026:70229 advisory.

    Red Hat JBoss Enterprise Application Platform 8 is a platform for Java applications based on the WildFly     application runtime. This release of Red Hat JBoss  Enterprise Application Platform 8.1.8 serves as a     replacement for Red Hat JBoss Enterprise Application Platform 8.1.7, and includes bug fixes and     enhancements. See the Red Hat JBoss Enterprise Application Platform 8.1.8 Release Notes for information     about the most significant bug fixes and enhancements included in this release.

    Security Fix(es):

    * jackson-core: jackson-core: Denial of Service via incomplete fix in async JSON parser [eap-8.1.z]     (CVE-2026-68494)

    * netty-codec-http2: Netty: Denial of Service via memory exhaustion in SPDY-to-HTTP codec [eap-8.1.z]     (CVE-2026-56745)

    * netty-handler: Netty: TLS hostname verification bypass via OpenSSL client path misconfiguration     [eap-8.1.z] (CVE-2026-62243)

    * bcpg-jdk18on: Bouncy Castle for Java: Denial of Service due to unbounded OpenPGP user-attribute     subpacket length [eap-8.1.z] (CVE-2026-59649)

    * jackson-databind: jackson-databind: Ignored properties can be unexpectedly modified [eap-8.1.z]     (CVE-2026-54515)

    * jackson-databind: Jackson-databind: Privilege escalation via improper handling of @JsonUnwrapped     properties [eap-8.1.z] (CVE-2026-59889)

    * netty-codec-dns: Netty: Denial of Service via Memory Leak in DNS Record Decoder with Malformed Domain     Names [eap-8.1.z] (CVE-2026-73508)

    * jboss-eap.1-runtime-maven-repository.zip: jackson-core: Denial of Service via incomplete fix in async     JSON parser [eap-8.1.z] (CVE-2026-68494)

    * jboss-eap-runtime-maven-repository.zip: jackson-core: Denial of Service via incomplete fix in async JSON     parser [eap-8.1.z] (CVE-2026-68494)

    * bcprov-jdk18on: unbounded PGP AEAD chunk size leads to pre-auth resource exhaustion [eap-8.1.z]     (CVE-2026-3505)

    * brace-expansion: brace-expansion: Denial of Service via unbounded intermediate arrays [eap-8.1.z]     (CVE-2026-69152)

    * netty-codec-http: Netty: Memory exhaustion in netty-codec-http (decompression bomb) [eap-8.1.z]     (CVE-2026-59899)

    * netty-codec-http: Netty: Security control bypass allows unauthorized requests via null origin header     [eap-8.1.z] (CVE-2026-56746)

    * netty-codec-http: Netty: Denial of Service via memory exhaustion in SPDY-to-HTTP codec [eap-8.1.z]     (CVE-2026-56745)

    * netty-codec-http: Netty: Denial of Service via SPDY SETTINGS frame processing [eap-8.1.z]     (CVE-2026-55831)

    * netty-codec-http: Netty: Denial of Service via SPDY header decompression amplification [eap-8.1.z]     (CVE-2026-55833)

    * jackson-databind: Jackson-databind: Security bypass allows arbitrary code execution [eap-8.1.z]     (CVE-2026-54513)

    * jackson-databind: jackson-databind: Arbitrary code execution via PolymorphicTypeValidator bypass     [eap-8.1.z] (CVE-2026-54512)

    * undertow-core: Undertow:HTTP request smuggling via oversized chunk-size bit overlap [eap-8.1.z]     (CVE-2026-14180)

    * artemis-server: artemis-server: Pre-auth topology disclosure via CORE SUBSCRIBE_TOPOLOGY_V2 on channel0     [eap-8.1.z] (CVE-2026-49363)

    * undertow-websockets-jsr: Undertow: Pre-Auth DoS on websocket endpoint with @ServerEndpoint class with     any @OnMessage method [eap-8.1.z] (CVE-2026-15565)

    * wildfly-iiop-openjdk: Wildfly: Pre-auth denial of service on the IIOP listener [eap-8.1.z]     (CVE-2026-15567)

    * cxf-rt-transports-jms: Apache CXF: Arbitrary code execution via untrusted JMS configuration [eap-8.1.z]     (CVE-2026-50632)

    * cxf-core: Apache CXF: Information disclosure via out-of-band external entity resolution due to missing     JAXP hardening [eap-8.1.z] (CVE-2026-49875)

    * wildfly-elytron-asn1: Unbounded Memory Allocation in WildFly Elytron ASN.1 DERDecoder via Crafted DER     Payload [eap-8.1.z] (CVE-2026-10832)

    * cxf-rt-transports-jms: Apache CXF: Remote Code Execution via untrusted JMS configuration [eap-8.1.z]     (CVE-2026-44417)

    * wildfly-elytron-realm-token: parameter injection in EAP's elytron oauth2 [eap-8.1.z] (CVE-2026-85511)

    * jakarta.faces: mojarra: Unauthenticated RCE in EAP JSF applications via EL injection in ui:include     [eap-8.1.z] (CVE-2026-46581)

    * wildfly-iiop-openjdk: Missing authentication on EAP's IIOP NameService leads to MITM or DoS [eap-8.1.z]     (CVE-2026-15563)

    * jboss-remoting: jboss-remoting: integer overflow in MessageReader leads to pre-authentication denial of     service [eap-8.1.z] (CVE-2026-15562)

    * undertow-core: OOM via missing limits in chunked trailer in EAP's Undertow [eap-8.1.z] (CVE-2026-15561)

    * openjdk-orb: unauthed class loading via IIOP in EAP [eap-8.1.z] (CVE-2026-15560)

    * artemis-server: Apache Artemis  session hijack via missing authentication [eap-8.1.z]     (CVE-2026-57967)

    * wildfly-clustering-infinispan-marshalling: Jboss Deserialization RCE via Unfiltered River Unmarshaller     [eap-8.1.z] (CVE-2026-15555)

    * undertow-core: Undertow: Authentication Bypass via AJP ssl_cert/is_ssl Forgery [eap-8.1.z]     (CVE-2026-15554)

    * jgroups: artemis cluster password leak via jgroups spoof [eap-8.1.z] (CVE-2026-49364)

    * artemis-server: artemis core protocol permits unauthed queue creation [eap-8.1.z] (CVE-2026-49362)

    * artemis-server: artemis messaging handlers in Red Hat EAP permit deserialization by default [eap-8.1.z]     (CVE-2026-86404)

    * undertow-core: Undertow: Denial of Service via WebSocket permessage-deflate processing [eap-8.1.z]     (CVE-2026-5680)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
348793	RHEL 9 : Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70229)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348793	RHEL 9：Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70229)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348794	RHEL 10：Red Hat JBoss Enterprise Application Platform 8.1.8 （RHSA-2026:70230）	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348800	RHEL 8：Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70228)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348794	RHEL 10：Red Hat JBoss Enterprise Application Platform 8.1.8 （RHSA-2026:70230）	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348800	RHEL 8：Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70228)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348793	RHEL 9 : Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70229)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348794	RHEL 10:Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70230)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348800	RHEL 8 : Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70228)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348794	RHEL 10 : Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70230)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348800	RHEL 8 : Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70228)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high
348793	RHEL 9 : Red Hat JBoss Enterprise Application Platform 8.1.8 (RHSA-2026:70229)	Nessus	Red Hat Local Security Checks	2026/9/22	2026/9/22	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high