RHEL 7：JBoss EAP (RHSA-2015:0218)
medium Nessus 插件 ID 85714
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
更新后的程序包提供了 Red Hat JBoss Enterprise Application Platform 6.3.3，修复了多个安全问题和若干缺陷，并增加了多种增强功能，现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。
已发现 RESTEasy DocumentProvider 未正确设置 external-parameter-entities 和 external-general-entities 功能，因此允许外部实体扩展。能够向 RESTEasy 端点发送 XML 请求的远程攻击者可利用此缺陷读取运行应用程序服务器的用户可访问的文件，并可发动其他更高级的 XML 外部实体 (XXE) 攻击。(CVE-2014-7839)
已发现基于角色的访问控制 (RBAC) 实现未充分验证维护人员角色执行某些管理操作时所需的全部授权条件。具有维护人员角色的认证用户可利用此缺陷，对无法通过其他方式进行写入的一组有限属性及其对应值进行添加、修改或取消定义。
(CVE-2014-7849)
已发现 JBoss 应用程序服务器 (WildFly) JacORB 子系统未针对 security-domain 属性正确分配 socket-binding-ref 灵敏度分类。对于具有 socket-binding-ref 灵敏度分类而没有 security-domain-ref 灵敏度分类的属性，若经认证的用户角色对该属性具有访问权限，则可使用此缺陷访问 security-domain 属性中存在的敏感信息。(CVE-2014-7853)
已发现在处理未定义的安全域时，org.jboss.security.plugins.mapping.JBossMappingManager 实现会后退到默认安全域（如果可用）。如果用户具备定义的默认域中的有效凭据，同时具备在预期应用程序域中有效的角色，则可执行他们原本无法执行的操作。当使用 SAML2 STS 登录模块时，由于 PicketLink Trust SecurityActions 实现在定义上下文时使用硬编码的默认值，因而 JBossMappingManager 暴露出此问题。(CVE-2014-7827)
已发现在特定条件下，当结束对话时，未正确审查线程本地变量中存储的对话状态信息。这可导致争用条件，从而将之前对话中的敏感信息暴露给当前对话。(CVE-2014-8122)
Red Hat 在此感谢 JProfessionals 的 Rune Steinseth 报告 CVE-2014-8122 问题。CVE-2014-7849 和 CVE-2014-7853 问题是 Red Hat JBoss 企业应用程序平台团队的 Darran Lofthouse 发现的， CVE-2014-7827 问题是 Red Hat 质量工程团队的 Ondra Lukas 发现的。
此版本可替换 Red Hat JBoss Enterprise Application Platform 6.3.2，并包含缺陷补丁和多项增强。
可从“参考”部分中的链接获取这些更改的相关文档。
建议 Red Hat Enterprise Linux 6 中的所有 Red Hat JBoss Enterprise Application Platform 6.3 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。
解决方案
更新受影响的数据包。另见
https://access.redhat.com/jbossnetwork/restricted/softwareDetail.html?
https://access.redhat.com/errata/RHSA-2015:0218
https://access.redhat.com/security/cve/cve-2014-7849
https://access.redhat.com/security/cve/cve-2014-7853
https://access.redhat.com/security/cve/cve-2014-7827
插件详情
严重性: Medium
ID: 85714
文件名: redhat-RHSA-2015-0218.nasl
版本: 2.11
类型: local
代理: unix
发布时间: 2015/9/1
最近更新时间: 2021/2/5
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.3
CVSS v2
风险因素: Medium
基本分数: 6.4
时间分数: 5.6
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:P
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:antlr-eap6, p-cpe:/a:redhat:enterprise_linux:apache-cxf, p-cpe:/a:redhat:enterprise_linux:glassfish-jsf-eap6, p-cpe:/a:redhat:enterprise_linux:guava-libraries, p-cpe:/a:redhat:enterprise_linux:hibernate4-core-eap6, p-cpe:/a:redhat:enterprise_linux:hibernate4-eap6, p-cpe:/a:redhat:enterprise_linux:hibernate4-entitymanager-eap6, p-cpe:/a:redhat:enterprise_linux:hibernate4-envers-eap6, p-cpe:/a:redhat:enterprise_linux:hibernate4-infinispan-eap6, p-cpe:/a:redhat:enterprise_linux:hornetq, p-cpe:/a:redhat:enterprise_linux:httpserver, p-cpe:/a:redhat:enterprise_linux:jboss-as-appclient, p-cpe:/a:redhat:enterprise_linux:jboss-as-cli, p-cpe:/a:redhat:enterprise_linux:jboss-as-client-all, p-cpe:/a:redhat:enterprise_linux:jboss-as-clustering, p-cpe:/a:redhat:enterprise_linux:jboss-as-cmp, p-cpe:/a:redhat:enterprise_linux:jboss-as-configadmin, p-cpe:/a:redhat:enterprise_linux:jboss-as-connector, p-cpe:/a:redhat:enterprise_linux:jboss-as-console, p-cpe:/a:redhat:enterprise_linux:jboss-as-controller, p-cpe:/a:redhat:enterprise_linux:jboss-as-controller-client, p-cpe:/a:redhat:enterprise_linux:jboss-as-core-security, p-cpe:/a:redhat:enterprise_linux:jboss-as-deployment-repository, p-cpe:/a:redhat:enterprise_linux:jboss-as-deployment-scanner, p-cpe:/a:redhat:enterprise_linux:jboss-as-domain-http, p-cpe:/a:redhat:enterprise_linux:jboss-as-domain-management, p-cpe:/a:redhat:enterprise_linux:jboss-as-ee, p-cpe:/a:redhat:enterprise_linux:jboss-as-ee-deployment, p-cpe:/a:redhat:enterprise_linux:jboss-as-ejb3, p-cpe:/a:redhat:enterprise_linux:jboss-as-embedded, p-cpe:/a:redhat:enterprise_linux:jboss-as-host-controller, p-cpe:/a:redhat:enterprise_linux:jboss-as-jacorb, p-cpe:/a:redhat:enterprise_linux:jboss-as-jaxr, p-cpe:/a:redhat:enterprise_linux:jboss-as-jaxrs, p-cpe:/a:redhat:enterprise_linux:jboss-as-jdr, p-cpe:/a:redhat:enterprise_linux:jboss-as-jmx, p-cpe:/a:redhat:enterprise_linux:jboss-as-jpa, p-cpe:/a:redhat:enterprise_linux:jboss-as-jsf, p-cpe:/a:redhat:enterprise_linux:jboss-as-jsr77, p-cpe:/a:redhat:enterprise_linux:jboss-as-logging, p-cpe:/a:redhat:enterprise_linux:jboss-as-mail, p-cpe:/a:redhat:enterprise_linux:jboss-as-management-client-content, p-cpe:/a:redhat:enterprise_linux:jboss-as-messaging, p-cpe:/a:redhat:enterprise_linux:jboss-as-modcluster, p-cpe:/a:redhat:enterprise_linux:jboss-as-naming, p-cpe:/a:redhat:enterprise_linux:jboss-as-network, p-cpe:/a:redhat:enterprise_linux:jboss-as-osgi, p-cpe:/a:redhat:enterprise_linux:jboss-as-osgi-configadmin, p-cpe:/a:redhat:enterprise_linux:jboss-as-osgi-service, p-cpe:/a:redhat:enterprise_linux:jboss-as-picketlink, p-cpe:/a:redhat:enterprise_linux:jboss-as-platform-mbean, p-cpe:/a:redhat:enterprise_linux:jboss-as-pojo, p-cpe:/a:redhat:enterprise_linux:jboss-as-process-controller, p-cpe:/a:redhat:enterprise_linux:jboss-as-protocol, p-cpe:/a:redhat:enterprise_linux:jboss-as-remoting, p-cpe:/a:redhat:enterprise_linux:jboss-as-sar, p-cpe:/a:redhat:enterprise_linux:jboss-as-security, p-cpe:/a:redhat:enterprise_linux:jboss-as-server, p-cpe:/a:redhat:enterprise_linux:jboss-as-system-jmx, p-cpe:/a:redhat:enterprise_linux:jboss-as-threads, p-cpe:/a:redhat:enterprise_linux:jboss-as-transactions, p-cpe:/a:redhat:enterprise_linux:jboss-as-version, p-cpe:/a:redhat:enterprise_linux:jboss-as-web, p-cpe:/a:redhat:enterprise_linux:jboss-as-webservices, p-cpe:/a:redhat:enterprise_linux:jboss-as-weld, p-cpe:/a:redhat:enterprise_linux:jboss-as-xts, p-cpe:/a:redhat:enterprise_linux:jboss-ejb-client, p-cpe:/a:redhat:enterprise_linux:jboss-hal, p-cpe:/a:redhat:enterprise_linux:jboss-marshalling, p-cpe:/a:redhat:enterprise_linux:jboss-modules, p-cpe:/a:redhat:enterprise_linux:jboss-remoting3, p-cpe:/a:redhat:enterprise_linux:jboss-security-negotiation, p-cpe:/a:redhat:enterprise_linux:jbossas-appclient, p-cpe:/a:redhat:enterprise_linux:jbossas-bundles, p-cpe:/a:redhat:enterprise_linux:jbossas-core, p-cpe:/a:redhat:enterprise_linux:jbossas-domain, p-cpe:/a:redhat:enterprise_linux:jbossas-javadocs, p-cpe:/a:redhat:enterprise_linux:jbossas-modules-eap, p-cpe:/a:redhat:enterprise_linux:jbossas-product-eap, p-cpe:/a:redhat:enterprise_linux:jbossas-standalone, p-cpe:/a:redhat:enterprise_linux:jbossas-welcome-content-eap, p-cpe:/a:redhat:enterprise_linux:jbossts, p-cpe:/a:redhat:enterprise_linux:jbossweb, p-cpe:/a:redhat:enterprise_linux:jbossws-cxf, p-cpe:/a:redhat:enterprise_linux:jbossws-spi, p-cpe:/a:redhat:enterprise_linux:picketbox, p-cpe:/a:redhat:enterprise_linux:picketlink-bindings, p-cpe:/a:redhat:enterprise_linux:picketlink-federation, p-cpe:/a:redhat:enterprise_linux:resteasy, p-cpe:/a:redhat:enterprise_linux:sun-istack-commons, p-cpe:/a:redhat:enterprise_linux:sun-saaj-1.3-impl, p-cpe:/a:redhat:enterprise_linux:weld-core, p-cpe:/a:redhat:enterprise_linux:wss4j, cpe:/o:redhat:enterprise_linux:7
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2015/2/11
漏洞发布日期: 2014/11/25
参考资料信息
CVE: CVE-2014-7827, CVE-2014-7839, CVE-2014-7849, CVE-2014-7853, CVE-2014-8122
RHSA: 2015:0218