JBoss Enterprise Application Platform 6.1.0 更新 (RHSA-2013:0833)

high Nessus 插件 ID 66971

语言：

简介

远程 Red Hat 主机缺少安全更新。

描述

远程系统上运行的 JBoss Enterprise Application Platform 6.0.1 版本容易受到以下问题的影响：

- 应用程序在使用 COOKIE 会话跟踪方法的 JBoss Web 上运行时可能受到中间人攻击。org.apache.catalina.connector.Response.encodeURL() 方法中存在缺陷。通过利用此缺陷，攻击者可获取用户的 jsessionid 并劫持其会话。
(CVE-2012-4529)

- 如果多个应用程序使用相同的自定义授权模块类名称，本地攻击者可部署允许或拒绝用户访问的恶意应用程序授权模块。(CVE-2012-4572)

- XML 加密向后兼容性攻击可允许攻击者强制服务器使用不安全的传统加密系统。(CVE-2012-5575)

- 空指针取消引用缺陷可允许恶意 OCSP 导致执行 OCSP 验证的应用程序崩溃。
(CVE-2013-0166)

- 存在 OpenSSL 泄漏计时信息问题，可允许远程攻击者从加密的数据包提取明文。(CVE-2013-0169)

- JBoss Enterprise Application Platform 管理员密码和受骗者密码存储在由 GUI 安装程序创建的、全局可读的自动安装 XML 文件中。(CVE-2013-0218)

- Tomcat 未正确处理某些认证请求。远程攻击者可利用此缺陷注入请求，然后以受害者的凭据执行该请求。(CVE-2013-2067)