更新后的 resteasy 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 4、5 和 6 的 JBoss Enterprise Application Platform 5.1.2。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

RESTEasy 提供多种框架以帮助您构建 RESTful Web 服务和 RESTful Java 应用程序。

已发现 RESTEasy 容易遭受 XML 外部实体 (XXE) 攻击。如果远程攻击者向 RESTEasy 端点提交包含外部 XML 实体的请求，将会解析该实体，从而允许攻击者读取运行应用程序服务器的用户可访问的文件。此缺陷影响 DOM（文档对象模型）文档和 JAXB (Java Architecture for XML Binding) 输入。(CVE-2012-0818)

注意：默认未启用针对 CVE-2012-0818 的补丁。此更新添加了一个新的配置选项，以在 RESTEasy 中禁用实体扩展。如果服务器上的应用程序暴露 RESTEasy XML 端点，必须将 resteasy.document.expand.entity.references 配置 snippet 添加到其 web.xml 文件以禁用 RESTEasy 中的实体扩展。有关详细信息，请参阅 Red Hat Bugzilla 缺陷 785631。

警告：应用此更新之前，请备份 JBoss Enterprise Application Platform 的“jboss-as/server/[PROFILE]/deploy/”目录，以及所有其他自定义配置文件。

Red Hat Enterprise Linux 4、5 和 6 中的 JBoss Enterprise Application Platform 5.1.2 用户应升级这些更新后的程序包，其中修正了此问题。必须重新启动 JBoss 服务器进程以使此更新生效。

更新后的 rhevm 程序包修复了一个安全问题和多个缺陷，现在可用。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise Virtualization Manager 是可视化工具，用于集中管理运行 Red Hat Enterprise Linux 和 Microsoft Windows 的虚拟机的集合。这些程序包也包括 Red Hat Enterprise Virtualization Manager REST (Representational State Transfer) API，即一组可编脚本的命令，使管理员能够执行有关 Red Hat Enterprise Virtualization Manager 的查询和操作。

已发现 RESTEasy 容易遭受 XML 外部实体 (XXE) 攻击。如果能够访问 Red Hat Enterprise Virtualization Manager REST API 的远程攻击者向 RESTEasy 端点提交包含外部 XML 实体的请求，将会解析该实体，从而允许攻击者读取运行应用程序服务器的用户可访问的文件。此缺陷影响 DOM（文档对象模型）文档和 JAXB (Java Architecture for XML Binding) 输入。(CVE-2012-0818)

此更新还修复以下缺陷：

* 以前，REST API 忽略“Accept”标头。这使其无法检索有关特定子集合的详细信息，包括主机和磁盘。REST API 已更新，现在可按原始意图处理“Accept”标头。
(BZ#771369)

* 以前始终会设置“start_time”虚拟机属性。
这意味着，即使是已经停止的虚拟机，也有“start_time’”值。已进行更新，确保“start_time”属性仅在虚拟机启动时设置，并且可以运行。(BZ#772975)

* 以前，“rhevm-setup”脚本只能在其区域设置设为“en_US.UTF-8”、“en_US.utf-8”或“en_US.utf8”的系统上成功运行。在升级后，该脚本在其他区域设置（包括“ja_JP.UTF-8”）中也可以成功运行。
(BZ#784860)

* 以前，REST API 不验证在启用电源管理时提供的所有必要参数。未提供必要参数时，返回的响应代码也会不正确指示操作已成功。已进行更新，确保正确验证电源管理参数。(BZ#785744)

* 以前，当主机上可用的磁盘空间容量低时，不会发出警告或错误。当主机上没有可用的磁盘空间时，将不会事先警告，而是直接变成无响应。现已更新，当主机的可用磁盘空间小于 1000 MB 时，会在审计日志中发出警告，当主机的可用磁盘空间小于 500 MB 提示错误。(BZ#786132)

* 导入虚拟机时，如果网络接口卡的 MAC 地址与现有虚拟机的 MAC 地址有冲突，不会提供通知。现在发生这种情况时，审计日志中会显示一则消息，强调人工干预的需要。
(BZ#795416)

* 以前，使用 rhevm-config 工具只能对 SpiceSecureChannels 设置一个值，不能多也不能少。这意味着无法对所有 SPICE 通道加密。rhevm-config 工具已更新，现在可将所有 SPICE 通道添加到 SpiceSecureChannels 配置密钥对它们加密。(BZ#784012)

建议所有 Red Hat Enterprise Virtualization 用户升级这些更新后的程序包，其中解决了此漏洞并修复了这些缺陷。请参阅“解决方案”部分，了解有关安装此更新的信息。

更新后的 Red Hat Storage Console 程序包修复了一个安全问题和多种缺陷，并添加了多项增强，现在可用于 Red Hat Storage Server 2.1。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Storage Console (RHS-C) 是一款强大而简单的基于 Web 的图形用户界面，用于管理 Red Hat Storage 2.1 环境。此功能是作为技术预览提供的，目前 Red Hat Storage 订阅服务不支持此功能。
有关技术预览的更多信息，请参阅：
https://access.redhat.com/support/offerings/techpreview/

已发现 RESTEasy 容易遭受 XML 外部实体 (XXE) 攻击。如果能够访问 Red Hat Storage Console REST API 的远程攻击者向 RESTEasy 端点提交包含外部 XML 实体的请求，则该实体会被解析，从而允许攻击者读取可由运行应用程序服务器的用户所访问的文件。此缺陷影响 DOM（文档对象模型）文档和 JAXB (Java Architecture for XML Binding) 输入。
(CVE-2012-0818)

此更新还修复以下缺陷：

* 以前如果新服务器上没有安装必要的程序包，则该服务器不能添加至群集。现在，管理员可将服务器添加至群集，因为服务器可自动安装缺少的必要程序包。(BZ#850431)

* 以前，rhs-log-collector 工具没有收集有关 GlusterFS 的日志。(BZ#855271)

* 以前，rhsc-setup 无法在禁用 SELinux 的系统中成功完成。
(BZ#841342)

* 现在“Add Bricks”弹出窗口中的“Add Brick”按钮被放置在“Brick Directory”字段旁边，从而实现更好的 UI 体验。(BZ#863929)

* 以前，卷的 UUID 不可见。现在，将一个新字段添加到“Volumes”选项卡中的“Summary”子选项卡，用来显示 UUID。
(BZ#887806)

* 以前在重新启动服务器之后，无法访问 Web 控制台。已修改设置机制，确保在重新启动服务器之后可访问 Web 控制台。(BZ#838284)

此更新还添加了以下增强：

* 以前，要逐个添加主机才可将现有的存储群集导入到 Red Hat Storage Console。现在新增了一项新功能，用户可导入现有的存储群集。新的“群集创建”窗口提供用于导入现有存储群集的选项。如果输入 IP_Address 或群集中某个主机的主机名和密码，则会显示含有群集中所有主机的列表，并且这些主机均可添加至控制台。还可导入群集中的卷。
(BZ#850438)

* 以前，需要通过命令行才能使卷使用 CIFS。现在，您可通过“创建卷”窗口中的新“CIFS”复选框来启用或禁用卷的导出。(BZ#850452)

* 用于 Red Hat Storage 的新 Red Hat Support 插件是一种技术预览功能，可提供对 Red Hat 客户门户网站中的 Red Hat 订阅服务的无缝集成访问。安装此插件的订阅者可访问以下功能：

- 创建、管理和更新 Red Hat 支持案例。- 方便地访问独有的 Red Hat 知识和解决方案。- 搜索错误代码、消息等，以及从 Red Hat 客户门户网站查看相关知识。
 (BZ#999245)

* 将新的“事件 ID”列添加至“事件”选项卡的“高级视图”中的“事件”表中，从而允许用户在“事件”选项卡中查看每个事件的 ID。(BZ#889942)

* 新增了一项功能，可管理和监控控制台上的挂钩。此功能还可报告挂钩的变化，并通过以常规间隔进行轮询来检查新的挂钩脚本。(BZ#850483)

* 新增了“优化虚拟存储”选项，用于优化作为虚拟存储的卷。系统设置了该卷上的“虚拟”群组选项，以及以下两个卷选项：

- storage.owner-uid=36 - storage.owner-gid=36

此选项在创建卷期间以及现有卷中可用。（BZ#891493、BZ#891491）

建议 Red Hat Storage Server 2.1 的所有用户升级这些更新后的程序包。

根据其自我报告的版本号，远程 Junos Space 版本低于 13.3R1.8。因此，它受到捆绑的第三方软件组件中的多种漏洞的影响：

- RedHat JBoss 应用程序服务器中的多种漏洞。（CVE-2010-0738、CVE-2010-1428、CVE-2010-1429、CVE-2011-5245、CVE-2012-0818）

- Oracle Java SE JDK 中的多种漏洞。
 （CVE-2012-3143、CVE-2013-1537、CVE-2013-1557、CVE-2013-2422）

- Oracle MySQL Server 中的多种漏洞。
 （CVE-2013-1502、CVE-2013-1511、CVE-2013-1532、CVE-2013-1544、CVE-2013-2375、CVE-2013-2376、CVE-2013-2389、CVE-2013-2391、CVE-2013-2392、CVE-2013-3783、CVE-2013-3793、CVE-2013-3794、CVE-2013-3801、CVE-2013-3802、CVE-2013-3804、CVE-2013-3805、CVE-2013-3808、CVE-2013-3809、CVE-2013-3812、CVE-2013-3839）

- Apache HTTP Server 中的多种漏洞。
 （CVE-2013-1862、CVE-2013-1896）

- 已知的硬编码 MySQL 凭据。(CVE-2014-3413)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
64046	RHEL 4 / 5 / 6：resteasy (RHSA-2012:1059)	Nessus	Red Hat Local Security Checks	2013/1/24	2024/4/27	medium
79284	RHEL 6：rhevm (RHSA-2012:0421)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
79289	RHEL 6：Storage Server (RHSA-2013:1263)	Nessus	Red Hat Local Security Checks	2014/11/17	2021/1/14	medium
80195	Juniper Junos Space < 13.3R1.8 多种漏洞 (JSA10627)	Nessus	Junos Local Security Checks	2014/12/22	2022/5/25	critical

检测

插件搜索

medium

medium

medium

critical