更新后的 richfaces 程序包修复了一个安全问题，现在可用于 Red Hat JBoss Enterprise Application Platform 5.2.0 for Red Hat Enterprise Linux 4、5 和 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

RichFaces 是一个将 Ajax 功能添加到现有 JavaServer Faces (JSF) 应用程序的开源框架。

在 RichFaces ResourceBuilderImpl 处理反序列化的方式中发现一个缺陷。远程攻击者可利用此缺陷在服务器上部署的任何可序列化类中触发反序列化方法的执行。这可导致各种安全影响，具体取决于这些类的反序列化逻辑。
(CVE-2013-2165)

此问题的补丁引入白名单来限制 RichFaces 可以反序列化的类。

如果您需要在白名单中加入新类，例如自定义类，可通过以下任一方法来实现：

方法 1：实现 SerializableResource 界面。在 RichFaces 3 中，这在 org.ajax4jsf.resource.SerializableResource 定义，而在 RichFaces 4/5 中，则是在 org.richfaces.resource.SerializableResource 定义。

方法 2：将类添加到 resource-serialization.properties 文件（默认属性文件在应用此更新后提供）。为此，可以扩展 RichFaces 3 中 org.ajax4jsf.resource 下和 RichFaces 4/5 中 org.richfaces.resource 下框架提供的属性文件。修改的属性文件必须复制到版本特定程序包下部署的类路径。

建议尽可能采用方法 1。

Red Hat 在此感谢 Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 报告此问题。

警告：在应用此更新之前，请先备份现有的 Red Hat JBoss Enterprise Application Platform 安装（包括所有应用程序和配置文件）。

建议 Red Hat Enterprise Linux 4、5 和 6 上的所有 Red Hat JBoss Enterprise Application Platform 5.2.0 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

检测

RHEL 4 / 5 / 6：richfaces (RHSA-2013:1042)

high Nessus 插件 ID 67239

未找到变更日志