更新后的 JBoss Enterprise Application Platform (JBEAP) 4.3 程序包修复了多种安全问题和多个缺陷并添加了增强，现在已像 JBEAP 4.3.0.CP07 一样可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 4 的此版本 JBEAP 可替代 JBEAP 4.3.0.CP06。

这些更新后的程序包中包含缺陷补丁和增强，其详细信息可通过访问以下链接从可即时获取的发行说明中找到：http://www.redhat.com/docs/en-US/JBoss_Enterprise_Application_Platform/

此版本还修复了以下安全问题：

在 xml-security 中发现缺失对基于 HMAC 的 XML 签名截断表单的建议最小长度的检查。攻击者可利用此缺陷创建特别构建的 XML 文件来伪造 XML 签名，从而使攻击者可以绕过基于 XML 签名规范的认证。
(CVE-2009-0217)

Swatej Kumar 在 JBoss Application Server Web 控制台中发现跨站脚本 (XSS) 缺陷。攻击者可利用这些缺陷向经认证的用户展示误导性数据，或者在经认证用户的浏览器会话上下文中执行任意脚本代码。(CVE-2009-2405)

在 Apache Xerces2 Java 解析器处理 DTD 中的 SYSTEM 标识符的方式中发现一个缺陷。远程攻击者可以提供特别构建的 XML 文件，一旦使用 Apache Xerces2 Java 解析器的应用程序解析该文件，会导致拒绝服务（应用程序因使用过量 CPU 而挂起）。(CVE-2009-2625)

在 twiddle 命令行客户端中发现一个信息泄漏缺陷。
JMX 密码以纯文本格式登录“twiddle.log”。
(CVE-2009-3554)

在 JMX 控制台中发现一个 XSS 缺陷。攻击者可利用此缺陷向经认证的用户展示误导性数据，或者在经认证用户的浏览器会话上下文中执行任意脚本代码。(CVE-2009-1380)

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 4 上的所有 JBEAP 4.3 用户升级这些更新后的程序包。

检测

RHEL 4：JBoss EAP (RHSA-2009:1636)

medium Nessus 插件 ID 63903

未找到变更日志