现已提供针对适用于 RHEL 6 的 Red Hat JBoss Enterprise Web Server 2.1 的更新。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

Red Hat JBoss Web Server 是一组用于托管 Java Web 应用程序的完全集成且经过认证的组件。它由 Apache HTTP Server、Apache Tomcat Servlet 容器、Apache Tomcat Connector (mod_jk)、JBoss HTTP Connector (mod_cluster)、Hibernate 和 Tomcat Native 库组成。

此版本替换了 Red Hat JBoss Web Server 2.1.0 并包含数个缺陷补丁。有关这些更改的最重要的信息，请参阅在“参考”部分链接的 Red Hat JBoss Web Server 2.1.1 发行说明。

建议 Red Hat Enterprise Linux 6 上 Red Hat JBoss Web Server 2.1.0 的所有用户都升级到 Red Hat JBoss Web Server 2.1.1。必须重新启动 JBoss 服务器进程以使此更新生效。

安全补丁：

* 已发现 httpd 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5387)

* 在 OpenSSL 的 EVP_EncodeUpdate() 函数解析极大量输入数据的方式中发现一个整数溢出缺陷，其可导致缓冲区溢出。远程攻击者可利用此缺陷，造成使用 OpenSSL 的应用程序崩溃，或可能以运行该应用程序的用户权限来执行任意代码。(CVE-2016-2105)

* 在 OpenSSL 的 EVP_EncryptUpdate() 函数解析极大量输入数据的方式中发现一个整数溢出缺陷，其可导致缓冲区溢出。远程攻击者可利用此缺陷，造成使用 OpenSSL 的应用程序崩溃，或可能以运行该应用程序的用户权限来执行任意代码。(CVE-2016-2106)

* 发现可使用通过服务消息 (MCMP) 发送至 mod_cluster 的特别构建的字符串，远程使 Apache http server 发生段错误。(CVE-2016-3110)

Red Hat 在此感谢 Scott Geary (VendHQ) 报告 CVE-2016-5387；感谢 OpenSSL 项目报告 CVE-2016-2105 和 CVE-2016-2106；感谢 Michal Karm Babacek 报告 CVE-2016-3110。
上游感谢 CVE-2016-2105 和 CVE-2016-2106 的原始报告者 Guido Vranken。

检测

RHEL 6：JBoss Web Server (RHSA-2016:1649)

high Nessus 插件 ID 93119

未找到变更日志