更新现在可用于 Red Hat Enterprise Linux 6 的 Red Hat JBoss Enterprise Application Platform 7.0。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Enterprise Application Platform 是适用于基于 JBoss Application Server 的 Java 应用程序的平台。此 Red Hat JBoss Enterprise Application Platform 7.0.6 版本可替换 Red Hat JBoss Enterprise Application Platform 7.0.5，并包含多项缺陷修复和增强功能，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* 发已现在某些情况下，会强制 RESTEasy 使用 YamlProvider 分析请求，从而导致打乱潜在不受信任的数据。攻击者可能会利用此缺陷，通过使用 RESTEasy 的应用程序许可，执行任意代码。(CVE-2016-9606) * 已发现 Red Hat JBoss Enterprise Application 6 和 7 中的日志文件查看器允许经身份验证的用户通过路径遍历读取任意文件。(CVE-2017-2595) * 已发现解析 HTTP 请求行的代码允许无效字符。可利用此缺陷，通过与同样允许无效字符但解释不同的代理结合，将数据注入 HTTP 响应。通过操控 HTTP 响应，攻击者可侵害 Web 缓存、执行 XSS 攻击或从非自身请求获得敏感信息。(CVE-2017-2666) * 已发现在非清洁 TCP 关闭时，Websocket 服务器会在每个 IO 线程上进入无限循环，从而有效导致 DoS。(CVE-2017-2670) Red Hat 在此感谢 Moritz Bechler (AgNO3 GmbH & Co. KG) 报告 CVE-2016-9606 以及 Gregory Ramsperger 和 Ryan Moak 报告 CVE-2017-2670。CVE-2017-2666 问题由 Radim Hatlapatka (Red Hat) 发现。

检测

RHEL 6：JBoss EAP (RHSA-2017:1410)

high Nessus 插件 ID 112258

未找到变更日志