更新后的程序包提供了 Red Hat JBoss Enterprise Application Platform 6.2.4，修复了多个安全问题和若干缺陷，并增加了多种增强功能，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

Apache CXF 是一个开源服务框架，是 Red Hat JBoss Enterprise Application Platform 的一部分。

已发现作为 Apache CXF 的一部分提供的 SecurityTokenService (STS) 在某些情况下可将无效 SAML 标记视为有效。远程攻击者可利用特别构建的 SAML 标记获得访问使用 STS 验证 SAML 标记的应用程序的权限。(CVE-2014-0034)

在 Apache CXF 为某些 POST 请求创建错误消息的方式中发现拒绝服务缺陷。远程攻击者可以发送特别构建的请求，当使用 Apache CXF 的应用程序处理该请求时，会消耗系统上的过多内存，从而触发内存不足 (OOM) 错误。
(CVE-2014-0109)

已发现当 Apache CXF 处理大型的无效 SOAP 消息时，可能会将该消息保存到 /tmp 目录的临时文件中。远程攻击者可以发送特别构建的 SOAP 消息，当使用 Apache CXF 的应用程序处理该消息时，它会耗用过多磁盘空间，从而导致拒绝服务。(CVE-2014-0110)

已发现 Java API for RESTful Web Services (JAX-RS) 实现在默认情况下启用了外部实体扩展。远程攻击者可利用此缺陷查看应用程序服务器用户可以访问的任意文件的内容。(CVE-2014-3481)

已发现使用对称 EncryptBeforeSigning 密码策略的 Apache CXF 客户端以纯文本形式发送 UsernameTokens。中间人攻击者可利用此缺陷获取使用 Apache CXF 的客户端应用程序所使用的用户名和密码。(CVE-2014-0035)

CVE-2014-3481 问题由 Red Hat JBoss Enterprise Application Platform QE 团队发现。

此版本可替换 Red Hat JBoss Enterprise Application Platform 6.2.3，并包含缺陷补丁和多项增强。
很快将可通过“参考”中链接的 Red Hat JBoss Enterprise Application Platform 6.2.4 发行说明查看这些更改的文档。

建议 Red Hat Enterprise Linux 5 中的所有 Red Hat JBoss Enterprise Application Platform 6.2 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

检测

RHEL 5：JBoss EAP (RHSA-2014:0798)

medium Nessus 插件 ID 76292

未找到变更日志