更新后的 JBoss Enterprise Application Platform (JBEAP) 程序包修复了多个安全问题，现在可用。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

JBoss Enterprise Application Platform (JBEAP) 是 Java 2 Platform Enterprise Edition (J2EE) 应用程序的中间件平台。

Red Hat Enterprise Linux 4 的此 JBEAP 版本包含 JBoss Application Server 和 JBoss Seam。此版本充当 JBEAP 4.2.0.GA 的替代品。它修复多个安全问题：

JFreeChart 组件容易受到多种跨站脚本 (XSS) 漏洞的攻击。攻击者可误用图像映射功能，通过图表区域的多个属性注入任意 Web 脚本或 HTML。(CVE-2007-6306)

在 HSQLDB 组件中发现一个通过暴露静态 Java 方法而造成的漏洞。攻击者可利用此漏洞执行任意静态 Java 方法。(CVE-2007-4575)

org.jboss.seam.framework.Query 类中的 setOrder 方法未正确验证用户提供的参数。此漏洞允许远程攻击者通过 order 参数注入并执行任意 Enterprise JavaBeans Query Language (EJB QL) 命令。
(CVE-2007-6433)

这些更新后的程序包包含此处未列出的缺陷补丁及增强。有关完整列表，请参阅 JBEAP 4.2.0CP02 发行说明：
http://redhat.com/docs/manuals/jboss/jboss-eap-4.2.0.cp02/readme.html

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议所有 Red Hat Enterprise Linux 4 上的 JBEAP 用户升级这些更新后的程序包，其中解决了这些问题。

检测

RHEL 4：JBoss EAP (RHSA-2008:0151)

high Nessus 插件 ID 63848

未找到变更日志