更新后的 JBoss Enterprise Application Platform 6.0.1 的 apache-cxf 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Apache CXF 是开源服务框架。

已发现 Apache CXF UsernameTokenPolicyValidator 和 UsernameTokenInterceptor 允许无密码子元素的 UsernameToken 元素绕过认证。远程攻击者可利用此缺陷通过忽略 UsernameToken 中的密码，避开对 Web 服务应用的访问控制。此缺陷可在依赖 WS-SecurityPolicy 纯文本 UsernameToken 认证用户的 Web 服务中利用。不能在使用哈希的密码或不带 WS-SecurityPolicy 的 WS-Security 时利用此缺陷。
(CVE-2013-0239)

如果 Web 服务是使用 Apache CXF 部署的，并且启用了 WSS4JInInterceptor 以应用 WS-Security 处理，则无需应用认证检查，将始终向针对这些服务的 HTTP GET 请求授予访问权限。URIMappingInterceptor 是一种旧机制，允许对简单 SOAP 服务进行类 REST 的访问（通过 GET 请求）。远程攻击者可利用此缺陷，使用 GET 请求访问简单 SOAP 服务的类 REST 接口，从而绕过 WSS4JInInterceptor 应用的安全限制。此缺陷仅当 WSS4JInInterceptor 用于应用 WS-Security 处理时才可利用。使用 WS-SecurityPolicy 应用安全性的服务不受影响。(CVE-2012-5633)

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。

建议所有 Red Hat Enterprise Linux 5 和 6 中的 JBoss Enterprise Application Platform 6.0.1 用户升级此更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

检测

RHEL 5 / 6：apache-cxf (RHSA-2013:0644)

medium Nessus 插件 ID 65544

未找到变更日志