更新后的 JBoss Enterprise Application Platform (JBEAP) 4.2 程序包修复了三个安全问题和多个缺陷，现已如 JBEAP 4.2.0.CP09 一样可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 是适用于创新、可扩展 Java 应用程序的市场领先的平台；它将 JBoss Application Server、JBoss Hibernate 和 JBoss Seam 集成为一款全面而简单的企业解决方案。

适用于 Red Hat Enterprise Linux 4 的此版本 JBEAP 可替代 JBEAP 4.2.0.CP08。

这些更新后的程序包包含多个缺陷补丁，其详细说明可从发行说明中找到。很快将可通过“参考”部分的链接获得发行说明。

此版本还修复了以下安全问题：

JMX 控制台配置仅为使用 GET 和 POST HTTP “动词”的请求指定认证要求。远程攻击者可能创建未指定 GET 或 POST 的 HTTP 请求，导致在未经认证情况下由默认 GET 处理程序执行。此版本包含具有已更新配置的 JMX 控制台，不再指定 HTTP 动词。这意味着认证要求适用于所有请求。
(CVE-2010-0738)

对于 CVE-2010-0738 问题，如果立即升级不适用或者已自定义服务器部署，可应用手动修复。有关详细信息，请参阅“参考”中链接的 JBEAP 发行说明中的“此版本已修复问题”部分 (JBPAPP-3952) 的“安全”子部分。根据发行说明进行更改之前，请联系 Red Hat JBoss Support 获得建议。

Red Hat 在此感谢 Minded Security 的 Stefano Di Paola 和 Giorgio Fedon 负责报告 CVE-2010-0738 问题。

默认拦截对 JBoss Application Server Web 控制台 (/web-console) 的未经认证的访问。但是，已发现此拦截不完善，仅拦截了 GET 和 POST HTTP 动词。远程攻击者可利用此缺陷获得敏感信息的访问权限。此版本包含具有已更新配置的 Web 控制台，现在默认拦截所有未经认证的访问。(CVE-2010-1428)

RHSA-2008:0825 更新修复了未经认证的用户可访问状态 servlet 的问题 (CVE-2008-3273)；但是，RHSA-2009:0346 更新中包含的一个缺陷补丁重新引入了该问题。远程攻击者可利用此缺陷获取有关部署的 Web 上下文的详细信息。(CVE-2010-1429)

警告：应用此更新之前，请备份 JBEAP 'server/[configuration]/deploy/' 目录以及任何其他自定义配置文件。

建议 Red Hat Enterprise Linux 4 上的所有 JBEAP 4.2 用户升级这些更新后的程序包。

检测

RHEL 4：JBoss EAP (RHSA-2010:0376)

medium Nessus 插件 ID 63928

未找到变更日志