更新后的 jboss-ec2-eap 程序包修复了两个安全问题，多个缺陷并增加了各种增强，现在可用于 Red Hat Enterprise Linux 6 上的 Red Hat JBoss Enterprise Application Platform 6.4.4。

Red Hat 产品安全团队将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

发现 Apache commons-collections 库反序列化包含特别构建类链的对象时，允许执行代码。远程攻击者可利用此缺陷以使用 commons-collections 库的应用程序所具有的权限执行任意代码。(CVE-2015-7501)

有关 commons-collections 缺陷的详细信息，请访问：https://access.redhat.com/solutions/2045023

已发现 JBoss EAP 未正确授权用户执行关闭。具有监控者、部署者或审计者角色的远程用户可利用此缺陷关闭 EAP 服务器，此操作限制为由 admin 用户使用。(CVE-2015-5304)

CVE-2015-5304 问题由 Red Hat Middleware 质量工程的 Ladislav Thon 发现。

jboss-ec2-eap 程序包为 Amazon Web Services (AWS) Elastic Compute Cloud (EC2) 上运行的 Red Hat JBoss Enterprise Application Platform 提供脚本。程序包已通过此更新确保与 Red Hat JBoss Enterprise Application Platform 6.4.5 的兼容性。可从“参考”部分中的链接获取这些更改的相关文档。

建议所有 Red Hat Enterprise Linux 6 上的 Red Hat JBoss Enterprise Application Platform 6.4 的 jboss-ec2-eap 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

检测

RHEL 6：JBoss EAP (RHSA-2015:2542)

critical Nessus 插件 ID 87194

未找到变更日志