遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:1208 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    此版本將作為 Red Hat JBoss Enterprise Application Platform 6.1.0 的取代套件，其中包含錯誤修正和增強功能。請參閱 6.1.1 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發布至 https://access.redhat.com/site/documentation/

    安全性更新：

    在 mod_info、mod_status、mod_imagemap、mod_ldap 和 mod_proxy_ftp 模組中發現跨網站指令碼 (XSS) 瑕疵。如果攻擊者能夠使受害者的瀏覽器以特製的主機標頭產生 HTTP 要求，他們就可能利用這些缺陷執行 XSS 攻擊。(CVE-2012-3499)

    在 mod_proxy_balancer 模組的管理員 Web 介面中，發現多個跨網站指令碼 (XSS) 瑕疵。如果遠端攻擊者可誘騙已登入管理員 Web 介面的使用者造訪特製的 URL，這會導致在使用者的管理員介面工作階段的內容中執行任意 Web 指令碼。(CVE-2012-4558)

    在 mod_dav 模組處理合併要求的方式中發現一個瑕疵。攻擊者可利用此缺陷傳送特製的合併要求，其中含有尚未設定 DAV 的 URI，可能會導致 httpd 子處理程序損毀。(CVE-2013-1896)

    在 Apache Santuario XML Security for Java 用於驗證 XML 簽章的方式中發現一個瑕疵。Santuario 允許簽章指定任意標準化演算法，該演算法會套用到 SignedInfo XML 片段。遠端攻擊者可利用此瑕疵，透過特製的 XML 簽章區塊偽造 XML 簽章。(CVE-2013-2172)

    據發現，mod_rewrite 無法從其記錄檔篩選終端逸出序列。如果 mod_rewrite 是以 RewriteLog 指示詞設定，遠端攻擊者可利用特製的 HTTP 要求，將終端逸出序列插入 mod_rewrite 記錄檔。如果受害者以終端模擬器檢視記錄檔，可導致以該使用者的特權執行任意命令。(CVE-2013-1862)

    PicketBox Vault 用於儲存加密密碼的資料檔案中包含其擁有的管理員金鑰複本。檔案僅使用此管理員金鑰加密，而不使用對應的 JKS 金鑰。具有 vault 資料檔案讀取權限的本機攻擊者可讀取檔案的管理員金鑰，並利用該金鑰解密檔案，甚至讀取純文字格式的已儲存密碼。
    (CVE-2013-1921)

    在 JGroup 的 DiagnosticsHandler 中發現一個瑕疵，可讓相鄰網路的攻擊者重複使用先前成功經過驗證的認證。這可遭到惡意利用，進而讀取診斷資訊 (資訊洩漏) 並取得有限的遠端程式碼執行。
    (CVE-2013-4112)

    警告：套用此更新之前，請先備份現有的 Red Hat JBoss Enterprise Application Platform 安裝和已部署的應用程式。
    如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

    建議所有在 Red Hat Enterprise Linux 6 中使用 Red Hat JBoss Enterprise Application Platform 6.1.0 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Redhat Enterprise Linux 5 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2013:1207 advisory.

    Red Hat JBoss Enterprise Application Platform 6 is a platform for Java     applications based on JBoss Application Server 7.

    This release serves as a replacement for Red Hat JBoss Enterprise     Application Platform 6.1.0, and includes bug fixes and enhancements. Refer     to the 6.1.1 Release Notes for information on the most significant of these     changes, available shortly from     https://access.redhat.com/site/documentation/

    Security fixes:

    Cross-site scripting (XSS) flaws were found in the mod_info, mod_status,     mod_imagemap, mod_ldap, and mod_proxy_ftp modules. An attacker could     possibly use these flaws to perform XSS attacks if they were able to make     the victim's browser generate an HTTP request with a specially-crafted Host     header. (CVE-2012-3499)

    Cross-site scripting (XSS) flaws were found in the mod_proxy_balancer     module's manager web interface. If a remote attacker could trick a user,     who was logged into the manager web interface, into visiting a     specially-crafted URL, it would lead to arbitrary web script execution in     the context of the user's manager interface session. (CVE-2012-4558)

    A flaw was found in the way the mod_dav module handled merge requests. An     attacker could use this flaw to send a crafted merge request that contains     URIs that are not configured for DAV, causing the httpd child process to     crash. (CVE-2013-1896)

    A flaw was found in the way Apache Santuario XML Security for Java     validated XML signatures. Santuario allowed a signature to specify an     arbitrary canonicalization algorithm, which would be applied to the     SignedInfo XML fragment. A remote attacker could exploit this to spoof an     XML signature via a specially-crafted XML signature block. (CVE-2013-2172)

    It was found that mod_rewrite did not filter terminal escape sequences from     its log file. If mod_rewrite was configured with the RewriteLog directive,     a remote attacker could use specially-crafted HTTP requests to inject     terminal escape sequences into the mod_rewrite log file. If a victim viewed     the log file with a terminal emulator, it could result in arbitrary command     execution with the privileges of that user. (CVE-2013-1862)

    The data file used by PicketBox Vault to store encrypted passwords contains     a copy of its own admin key. The file is encrypted using only this admin     key, not the corresponding JKS key. A local attacker with permission to     read the vault data file could read the admin key from the file, and use it     to decrypt the file and read the stored passwords in clear text.
    (CVE-2013-1921)

    A flaw was found in JGroup's DiagnosticsHandler that allowed an attacker on     an adjacent network to reuse the credentials from a previous successful     authentication. This could be exploited to read diagnostic information     (information disclosure) and attain limited remote code execution.
    (CVE-2013-4112)

    Warning: Before applying this update, back up your existing Red Hat JBoss     Enterprise Application Platform installation and deployed applications.
    Refer to the Solution section for further details.

    All users of Red Hat JBoss Enterprise Application Platform 6.1.0 on Red Hat     Enterprise Linux 5 are advised to upgrade to these updated packages. The     JBoss server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2013:1208 advisory.

    Red Hat JBoss Enterprise Application Platform 6 is a platform for Java     applications based on JBoss Application Server 7.

    This release serves as a replacement for Red Hat JBoss Enterprise     Application Platform 6.1.0, and includes bug fixes and enhancements. Refer     to the 6.1.1 Release Notes for information on the most significant of these     changes, available shortly from     https://access.redhat.com/site/documentation/

    Security fixes:

    Cross-site scripting (XSS) flaws were found in the mod_info, mod_status,     mod_imagemap, mod_ldap, and mod_proxy_ftp modules. An attacker could     possibly use these flaws to perform XSS attacks if they were able to make     the victim's browser generate an HTTP request with a specially-crafted Host     header. (CVE-2012-3499)

    Cross-site scripting (XSS) flaws were found in the mod_proxy_balancer     module's manager web interface. If a remote attacker could trick a user,     who was logged into the manager web interface, into visiting a     specially-crafted URL, it would lead to arbitrary web script execution in     the context of the user's manager interface session. (CVE-2012-4558)

    A flaw was found in the way the mod_dav module handled merge requests. An     attacker could use this flaw to send a crafted merge request that contains     URIs that are not configured for DAV, causing the httpd child process to     crash. (CVE-2013-1896)

    A flaw was found in the way Apache Santuario XML Security for Java     validated XML signatures. Santuario allowed a signature to specify an     arbitrary canonicalization algorithm, which would be applied to the     SignedInfo XML fragment. A remote attacker could exploit this to spoof an     XML signature via a specially-crafted XML signature block. (CVE-2013-2172)

    It was found that mod_rewrite did not filter terminal escape sequences from     its log file. If mod_rewrite was configured with the RewriteLog directive,     a remote attacker could use specially-crafted HTTP requests to inject     terminal escape sequences into the mod_rewrite log file. If a victim viewed     the log file with a terminal emulator, it could result in arbitrary command     execution with the privileges of that user. (CVE-2013-1862)

    The data file used by PicketBox Vault to store encrypted passwords contains     a copy of its own admin key. The file is encrypted using only this admin     key, not the corresponding JKS key. A local attacker with permission to     read the vault data file could read the admin key from the file, and use it     to decrypt the file and read the stored passwords in clear text.
    (CVE-2013-1921)

    A flaw was found in JGroup's DiagnosticsHandler that allowed an attacker on     an adjacent network to reuse the credentials from a previous successful     authentication. This could be exploited to read diagnostic information     (information disclosure) and attain limited remote code execution.
    (CVE-2013-4112)

    Warning: Before applying this update, back up your existing Red Hat JBoss     Enterprise Application Platform installation and deployed applications.
    Refer to the Solution section for further details.

    All users of Red Hat JBoss Enterprise Application Platform 6.1.0 on Red Hat     Enterprise Linux 6 are advised to upgrade to these updated packages. The     JBoss server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2013:1207 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    このリリースは、Red Hat JBoss Enterprise Application Platform 6.1.0 を置き換え、バグ修正と拡張機能が含まれています。最も重要な変更についての情報は、まもなく https://access.redhat.com/site/documentation/ からアクセスできる 6.1.1 リリースノートを参照してください。

    セキュリティ修正:

    クロスサイトスクリプティング（XSS）の欠陥が、mod_info、mod_status、mod_imagemap、mod_ldap、および mod_proxy_ftp のモジュールで発見されました。特別に細工されたホストヘッダーで、被害者のブラウザに HTTP リクエストを表示させることができた場合、攻撃者がこれらの欠陥を悪用して、XSS 攻撃を実行することが可能です。(CVE-2012-3499)

    mod_proxy_balancer モジュールのマネージャ Web インターフェースに、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者は、ユーザーを騙して、マネージャー Web インターフェースにログインさせて、特別に細工された URL にアクセスさせることができた場合、このユーザーのマネージャーインターフェースセッションのコンテキストで、任意の Web スクリプトを実行する可能性があります。(CVE-2012-4558)

    mod_dav モジュールがマージリクエストを処理する方法で、欠陥が見つかりました。攻撃者がこの欠陥を利用して、DAV に対して構成されていない URI が含まれる細工された MERGE リクエストを送信し、 httpd 子プロセスをクラッシュさせる可能性があります。(CVE-2013-1896)

    Apache Santuario XML Security for Java が XML 署名を検証する方法に欠陥が見つかりました。Santuario では、署名が任意の正規化アルゴリズムを指定することができ、それが SignedInfo XML フラグメントに適用されます。リモートの攻撃者がこれを悪用して、特別に細工された XML 署名ブロックを介して XML 署名を偽装する可能性があります。(CVE-2013-2172)

    mod_rewrite がログファイルからのターミナルエスケープシーケンスをフィルター処理しなかったことが見つかりました。mod_rewrite が RewriteLog ディレクティブで構成された場合、リモートの攻撃者が特別に細工された HTTP リクエストを使用して、ターミナルエスケープシーケンスを mod_rewrite ログファイルに注入することが可能です。被害者がログファイルをターミナルエミュレーターで表示すると、そのユーザーの権限で任意のコードが実行される可能性があります。(CVE-2013-1862)

    暗号化されたパスワードを保存するために PicketBox Vault が使用するデータファイルに、それ自体の管理者キーのコピーが含まれています。このファイルは、対応する JKS キーではなく、この管理者キーのみを使用して暗号化されます。Vault データファイルを読み取る権限のあるローカルの攻撃者が、当該のファイルから管理者キーを読み取り、そのキーを使用してファイルを復号化し、平文で保管されているパスワードを読み取る可能性があります。
    (CVE-2013-1921)

    JGroup の DiagnosticsHandler に欠陥が発見され、隣接するネットワーク上の攻撃者が、以前の成功した認証の認証情報を再利用することが可能です。診断情報（情報漏洩）を読み取ったり、制限されたリモートコードの実行を引き起こしたりするために、これが悪用される可能性があります。
    (CVE-2013-4112)

    警告：この更新を適用する前に、既存の Red Hat JBoss Enterprise Application Platform のインストール内容および展開済みアプリケーションをバックアップしてください。
    詳細については、「ソリューション」セクションを参照してください。

    Red Hat Enterprise Linux 5 上の Red Hat JBoss Enterprise Application Platform 6.1.0 の全ユーザーは、これらの更新済みのパッケージへアップグレードすることが推奨されます。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2013:1208 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    このリリースは、Red Hat JBoss Enterprise Application Platform 6.1.0 を置き換え、バグ修正と拡張機能が含まれています。最も重要な変更についての情報は、まもなく https://access.redhat.com/site/documentation/ からアクセスできる 6.1.1 リリースノートを参照してください。

    セキュリティ修正:

    クロスサイトスクリプティング（XSS）の欠陥が、mod_info、mod_status、mod_imagemap、mod_ldap、および mod_proxy_ftp のモジュールで発見されました。特別に細工されたホストヘッダーで、被害者のブラウザに HTTP リクエストを表示させることができた場合、攻撃者がこれらの欠陥を悪用して、XSS 攻撃を実行することが可能です。(CVE-2012-3499)

    mod_proxy_balancer モジュールのマネージャー Web インターフェースに、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者は、ユーザーを騙して、マネージャー Web インターフェースにログインさせて、特別に細工された URL にアクセスさせることができた場合、このユーザーのマネージャーインターフェースセッションのコンテキストで、任意の Web スクリプトを実行する可能性があります。(CVE-2012-4558)

    mod_dav モジュールがマージリクエストを処理する方法で、欠陥が見つかりました。攻撃者がこの欠陥を利用して、DAV に対して構成されていない URI が含まれる細工された MERGE リクエストを送信し、httpd 子プロセスをクラッシュさせる可能性があります。(CVE-2013-1896)

    Apache Santuario XML Security for Java が XML 署名を検証する方法に欠陥が見つかりました。Santuario では、署名が任意の正規化アルゴリズムを指定することができ、それが SignedInfo XML フラグメントに適用されます。リモートの攻撃者がこれを悪用して、特別に細工された XML 署名ブロックを介して XML 署名を偽装する可能性があります。(CVE-2013-2172)

    mod_rewrite がログファイルからのターミナルエスケープシーケンスをフィルター処理しなかったことが見つかりました。mod_rewrite が RewriteLog ディレクティブで構成された場合、リモートの攻撃者が特別に細工された HTTP リクエストを使用して、ターミナルエスケープシーケンスを mod_rewrite ログファイルに注入することが可能です。被害者がログファイルをターミナルエミュレーターで表示すると、そのユーザーの権限で任意のコードが実行される可能性があります。(CVE-2013-1862)

    暗号化されたパスワードを保存するために PicketBox Vault が使用するデータファイルに、それ自体の管理者キーのコピーが含まれています。このファイルは、対応する JKS キーではなく、この管理者キーのみを使用して暗号化されます。Vault データファイルを読み取る権限のあるローカルの攻撃者が、当該のファイルから管理者キーを読み取り、そのキーを使用してファイルを復号化し、平文で保管されているパスワードを読み取る可能性があります。
    (CVE-2013-1921)

    JGroup の DiagnosticsHandler に欠陥が発見され、隣接するネットワーク上の攻撃者が、以前の成功した認証の認証情報を再利用することが可能です。診断情報（情報漏洩）を読み取ったり、制限されたリモートコードの実行を引き起こしたりするために、これが悪用される可能性があります。
    (CVE-2013-4112)

    警告：この更新を適用する前に、既存の Red Hat JBoss Enterprise Application Platform のインストール内容および展開済みアプリケーションをバックアップしてください。
    詳細については、ソリューションセクションを参照してください。

    Red Hat Enterprise Linux 6 の Red Hat JBoss Enterprise Application Platform 6.1.0 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Redhat Enterprise Linux 5 主机上安装的多个程序包受到 RHSA-2013:1207 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.1.0，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.1.1 发行说明，具体内容短期内将于 https://access.redhat.com/site/documentation/ 中提供

    安全修复：

    在 mod_info、mod_status、mod_imagemap、mod_ldap 和 mod_proxy_ftp 模块中发现跨站脚本 (XSS) 缺陷。如果攻击者能够使受害者的浏览器生成带有特别构建的主机标头的 HTTP 请求，则他们便可能利用这些缺陷发动 XSS 攻击。(CVE-2012-3499)

    在 mod_proxy_balancer 模块的管理器 Web 界面中发现跨站脚本 (XSS) 缺陷。如果远程攻击者可诱骗登录到管理器 Web 界面的用户访问特别构建的 URL，则将导致在用户管理器界面会话的上下文中执行任意 Web 脚本。(CVE-2012-4558)

    在 mod_dav 模块处理合并请求的方式中发现一个缺陷。攻击者可利用此缺陷，发送构建的合并请求（含有不是为 DAV 配置的 URI），从而导致 httpd 子进程崩溃。(CVE-2013-1896)

    在 Apache Santuario XML Security for Java 验证 XML 签名的方式中发现一个缺陷。Santuario 允许签名指定任意规范化算法，该算法将被应用于 SignedInfo XML 片段。远程攻击者可利用这一点，通过特别构建的 XML 签名块冒充 XML 签名。(CVE-2013-2172)

    已发现 mod_rewrite 未过滤其日志文件中的终端转义序列。如果 mod_rewrite 配置了 RewriteLog 指令，远程攻击者可使用特别构建的 HTTP 请求向 mod_rewrite 日志文件中注入终端转义序列。如果受害者查看具有终端仿真器的日志文件，则可导致以用户的权限执行任意命令。(CVE-2013-1862)

    PicketBox Vault 用来存储加密密码的数据文件含有其自身 admin 密钥的副本。文件只使用该 admin 密钥进行加密，而不是相应的 JKS 密钥。具有保管库数据文件的读取权限的本地攻击者可从文件读取 admin 密钥，并且使用该密钥解密文件并读取明文中存储的密码。
    (CVE-2013-1921)

    在 JGroup 的 DiagnosticsHandler 中发现一个缺陷，允许相邻网络中的攻击者重用之前成功认证的凭据。可利用该缺陷读取诊断信息（信息泄露）并获取有限的远程代码执行。
    (CVE-2013-4112)

    警告：应用此更新之前，请备份现有 Red Hat JBoss Enterprise Application Platform 安装和部署的应用程序。
    有关更多详细信息，请参阅“解决方案”部分。

    建议 Red Hat Enterprise Linux 5 中的所有 Red Hat JBoss Enterprise Application Platform 6.1.0 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2013:1207 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    此版本將作為 Red Hat JBoss Enterprise Application Platform 6.1.0 的取代套件，其中包含錯誤修正和增強功能。請參閱 6.1.1 版本資訊，瞭解最重要的變更資訊，相關資訊將於近期發布至 https://access.redhat.com/site/documentation/

    安全性修正：

    在 mod_info、mod_status、mod_imagemap、mod_ldap 和 mod_proxy_ftp 模組中發現跨網站指令碼 (XSS) 缺陷。如果攻擊者能夠使受害者的瀏覽器以特製的主機標頭產生 HTTP 要求，他們就可能利用這些缺陷執行 XSS 攻擊。(CVE-2012-3499)

    在 mod_proxy_balancer 模組的管理員 Web 介面中，發現多個跨網站指令碼 (XSS) 缺陷。如果遠端攻擊者可誘騙已登入管理員 Web 介面的使用者造訪特製的 URL，這會導致在使用者的管理員介面工作階段的內容中執行任意 Web 指令碼。(CVE-2012-4558)

    在 mod_dav 模組處理合併要求的方式中發現一個缺陷。攻擊者可利用此缺陷傳送特製的合併要求，其中含有尚未設定 DAV 的 URI，可能會導致 httpd 子處理程序損毀。(CVE-2013-1896)

    在 Apache Santuario XML Security for Java 用於驗證 XML 簽章的方式中發現一個缺陷。Santuario 允許簽章指定任意標準化演算法，該演算法會套用到 SignedInfo XML 片段。遠端攻擊者可利用此瑕疵，透過特製的 XML 簽章區塊偽造 XML 簽章。(CVE-2013-2172)

    據發現，mod_rewrite 無法從其記錄檔篩選終端逸出序列。如果 mod_rewrite 是以 RewriteLog 指示詞設定，遠端攻擊者可利用特製的 HTTP 要求，將終端逸出序列插入 mod_rewrite 記錄檔。如果受害者以終端模擬器檢視記錄檔，可導致以該使用者的特權執行任意命令。(CVE-2013-1862)

    PicketBox Vault 用於儲存加密密碼的資料檔案中包含其擁有的管理員金鑰複本。檔案僅使用此管理員金鑰加密，而不使用對應的 JKS 金鑰。具有 vault 資料檔案讀取權限的本機攻擊者可讀取檔案的管理員金鑰，並利用該金鑰解密檔案，甚至讀取純文字格式的已儲存密碼。
    (CVE-2013-1921)

    在 JGroup 的 DiagnosticsHandler 中發現一個缺陷，可讓相鄰網路的攻擊者重複使用先前成功經過驗證的憑證。這可遭到惡意利用，進而讀取診斷資訊 (資訊洩漏) 並取得有限的遠端程式碼執行。
    (CVE-2013-4112)

    警告：套用此更新之前，請先備份現有的 Red Hat JBoss Enterprise Application Platform 安裝和已部署的應用程式。
    如需更進一步的詳細資訊，請參閱〈解決方案〉一節。

    建議所有在 Red Hat Enterprise Linux 5 中使用 Red Hat JBoss Enterprise Application Platform 6.1.0 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:1208 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.1.0，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.1.1 发行说明，具体内容短期内将于 https://access.redhat.com/site/documentation/ 中提供

    安全修复：

    在 mod_info、mod_status、mod_imagemap、mod_ldap 和 mod_proxy_ftp 模块中发现跨站脚本 (XSS) 缺陷。如果攻击者能够使受害者的浏览器生成带有特别构建的主机标头的 HTTP 请求，则他们便可能利用这些缺陷发动 XSS 攻击。(CVE-2012-3499)

    在 mod_proxy_balancer 模块的管理器 Web 界面中发现跨站脚本 (XSS) 缺陷。如果远程攻击者可诱骗登录到管理器 Web 界面的用户访问特别构建的 URL，则将导致在用户管理器界面会话的上下文中执行任意 Web 脚本。(CVE-2012-4558)

    在 mod_dav 模块处理合并请求的方式中发现一个缺陷。攻击者可利用此缺陷，发送构建的合并请求（含有不是为 DAV 配置的 URI），从而导致 httpd 子进程崩溃。(CVE-2013-1896)

    在 Apache Santuario XML Security for Java 验证 XML 签名的方式中发现一个缺陷。Santuario 允许签名指定任意规范化算法，该算法将被应用于 SignedInfo XML 片段。远程攻击者可利用这一点，通过特别构建的 XML 签名块冒充 XML 签名。(CVE-2013-2172)

    已发现 mod_rewrite 未过滤其日志文件中的终端转义序列。如果 mod_rewrite 配置了 RewriteLog 指令，远程攻击者可使用特别构建的 HTTP 请求向 mod_rewrite 日志文件中注入终端转义序列。如果受害者查看具有终端仿真器的日志文件，则可导致以用户的权限执行任意命令。(CVE-2013-1862)

    PicketBox Vault 用来存储加密密码的数据文件含有其自身 admin 密钥的副本。文件只使用该 admin 密钥进行加密，而不是相应的 JKS 密钥。具有保管库数据文件的读取权限的本地攻击者可从文件读取 admin 密钥，并且使用该密钥解密文件并读取明文中存储的密码。
    (CVE-2013-1921)

    在 JGroup 的 DiagnosticsHandler 中发现一个缺陷，允许相邻网络中的攻击者重用之前成功认证的凭据。可利用该缺陷读取诊断信息（信息泄露）并获取有限的远程代码执行。
    (CVE-2013-4112)

    警告：应用此更新之前，请备份现有 Red Hat JBoss Enterprise Application Platform 安装和部署的应用程序。
    有关更多详细信息，请参阅“解决方案”部分。

    建议 Red Hat Enterprise Linux 6 上 Red Hat JBoss Enterprise Application Platform 6.1.0 的所有用户都升级到这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
69883	RHEL 6：Red Hat JBoss Enterprise Application Platform 6.1.1 安全性更新 (中等) (RHSA-2013:1208)	Nessus	Red Hat Local Security Checks	9/13/2013	3/20/2025	medium
69882	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.1.1 update (Moderate) (RHSA-2013:1207)	Nessus	Red Hat Local Security Checks	9/13/2013	3/24/2025	medium
69883	RHEL 6 : Red Hat JBoss Enterprise Application Platform 6.1.1 update (Moderate) (RHSA-2013:1208)	Nessus	Red Hat Local Security Checks	9/13/2013	3/20/2025	medium
69882	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.1.1 の更新 (需要度中) (RHSA-2013:1207)	Nessus	Red Hat Local Security Checks	9/13/2013	3/24/2025	medium
69883	RHEL 6 : Red Hat JBoss Enterprise Application Platform 6.1.1 の更新プログラム (重要度中) (RHSA-2013:1208)	Nessus	Red Hat Local Security Checks	9/13/2013	3/20/2025	medium
69882	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.1.1 更新（中危）(RHSA-2013:1207)	Nessus	Red Hat Local Security Checks	9/13/2013	3/24/2025	medium
69882	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.1.1 安全性更新 (中等) (RHSA-2013:1207)	Nessus	Red Hat Local Security Checks	9/13/2013	3/24/2025	medium
69883	RHEL 6：Red Hat JBoss Enterprise Application Platform 6.1.1 更新（中危）(RHSA-2013:1208)	Nessus	Red Hat Local Security Checks	9/13/2013	3/20/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium