更新后的 JBoss Enterprise Application Platform (JBEAP) 4.2 程序包修复了各种问题，现已如 JBEAP 4.2.0.CP07 一样可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 4 的此版本 JBEAP 可替代 JBEAP 4.2.0.CP06。

这些更新后的程序包包含缺陷补丁及增强，其详细说明可从发行说明中找到。发行说明的链接可从该勘误表的以下“参考”部分中找到。

此版本还修复了以下安全问题：

发现请求调度程序未正确规范具有尾部查询字符串的用户请求，从而允许远程攻击者发送特别构建的请求，导致信息泄漏。(CVE-2008-5515)

已发现某些认证类的错误检查方法未进行充分的错误检查，从而允许远程攻击者在使用基于 FORM 的认证时（通过暴力破解方法）枚举通过 JBossWeb 上部署的应用程序注册的用户名。(CVE-2009-0580)

已发现包含自己的 XML 解析器的 Web 应用程序可以替代 JBossWeb 用来解析配置文件的 XML 解析器。JBossWeb 实例上运行的恶意 Web 应用程序可以读取或者可能修改同一 JBossWeb 实例上部署的其他 Web 应用程序的配置和基于 XML 的数据。(CVE-2009-0783)

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 4 上的所有 JBEAP 4.2 用户升级这些更新后的程序包。

检测

RHEL 4：JBoss EAP (RHSA-2009:1144)

medium Nessus 插件 ID 63883

未找到变更日志