更新版 activemq 程序包修复了多个安全问题，现在可用于 Red Hat OpenShift Enterprise 2.0。Red Hat 安全响应团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Apache ActiveMQ 提供 SOA 基础架构以连接跨异构化系统的程序。在 Apache Camel 的 FILE_NAME 标头解析中发现一个缺陷。能够将消息提交到 Camel 路由并将提供的消息写入文件的远程攻击者，可在 FILE_NAME 标头中提供将在服务器上进行评估的表达式语言 (EL) 表达式。这可导致在 Camel 服务器处理程序环境中执行任意远程代码。(CVE-2013-4330) 发现 Apache Camel XSLT 组件允许 XSL 样式表呼叫外部 Java 方法。能够将消息提交到 Camel 路由的远程攻击者可利用此缺陷，在 Camel 服务器处理程序环境中执行任意远程代码。(CVE-2014-0003) 发现在使用 JAXB 取消封送处理器时，Spring OXM 包装器并未暴露停用实体解析的任何内容。远程攻击者可利用此缺陷，在网站上发动 XML 外部实体 (XXE) 攻击，并在运行应用程序服务器的用户环境中读取文件。此缺陷的修补程序默认会停用外部实体处理，并提供配置指令来重新启用它。(CVE-2013-4152) 当本机库捆绑在 JAR 文件中，且没有指定自定义库路径时，HawtJNI 库类别将本机库写入 /tmp/ 中可预测的文件名。在 HawtJNI 编写这些本地库与它们执行的时窗期间，本地攻击者可使用恶意版本覆盖这些本地库。(CVE-2013-2035) CVE-2013-2035 问题的发现者是 Red Hat 产品安全团队的 Florian Weimer，CVE-2014-0003 问题的发现者是 Red Hat 安全响应团队的 David Jorm。建议所有 Red Hat OpenShift Enterprise 2.0 用户升级到此更新版程序包，以便修正这些问题。

检测

RHEL 6 : activemq (RHSA-2014:0245)

high Nessus 插件 ID 119346

未找到变更日志