Updated Red Hat JBoss Enterprise Application Platform 6.2.1 packages that fix one security issue are now available for Red Hat Enterprise Linux 5 and 6.

The Red Hat Security Response Team has rated this update as having Low security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

Red Hat JBoss Enterprise Application Platform 6 is a platform for Java applications based on JBoss Application Server 7.

It was found that the security audit functionality, as provided by Red Hat JBoss Enterprise Application Platform 6, logged request parameters in plain text. This may have caused passwords to be included in the audit log files when using BASIC or FORM-based authentication. A local attacker with access to audit log files could possibly use this flaw to obtain application or server authentication credentials.
(CVE-2014-0058)

The provided patch to fix CVE-2014-0058 also allows greater control over which of the following components of web requests are captured in audit logs :

* parameters

* cookies

* headers

* attributes

It is also possible to selectively mask some elements of headers, parameters, cookies, and attributes using masks. This capability is provided by two system properties, which are introduced by this patch :

1) org.jboss.security.web.audit

Description: This property controls the granularity of the security auditing of web requests.

Possible values: off = Disables auditing of web requests headers = Audits only the headers of web requests cookies = Audits only the cookies of web requests parameters = Audits only the parameters of web requests attributes = Audits only the attributes of web requests headers,cookies,parameters = Audits the headers, cookies, and parameters of web requests headers,cookies = Audits the headers and cookies of web requests

Default Value: headers, parameters

Examples: Setting 'org.jboss.security.web.audit=off' disables security auditing of web requests entirely. Setting 'org.jboss.security.web.audit=headers' enables security auditing of only headers in web requests.

2) org.jboss.security.web.audit.mask

Description: This property can be used to specify a list of strings to be matched against headers, parameters, cookies, and attributes of web requests. Any element matching the specified masks will be excluded from security audit logging.

Possible values: Any comma separated string indicating keys of headers, parameters, cookies, and attributes.

Default Value: j_password, authorization

Note that currently the matching of the masks is fuzzy rather than strict. For example, a mask of 'authorization' will mask both the header called authorization and the parameter called 'custom_authorization'. A future release may introduce strict masks.

Warning: Before applying this update, back up your existing Red Hat JBoss Enterprise Application Platform installation and deployed applications.

All users of Red Hat JBoss Enterprise Application Platform 6.2.1 on Red Hat Enterprise Linux 5 and 6 are advised to upgrade to these updated packages. The JBoss server process must be restarted for the update to take effect.

1 つのセキュリティの問題を修正する更新済みの Red Hat JBoss Enterprise Application Platform 6.2.1 パッケージが、 Red Hat Enterprise Linux 5 と 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

Red Hat JBoss Enterprise Application Platform 6 で提供されるセキュリティ監査機能が平文でリクエストパラメーターをログに記録することが判明しました。このため、BASIC または FORM ベースの認証を使用する際に、監査ログファイルにパスワードが含まれる可能性があります。ローカルの攻撃者が、監査ログファイルにアクセスできる場合、この欠陥を利用して、アプリケーションまたはサーバーの認証情報を取得する可能性があります。
（CVE-2014-0058）

CVE-2014-0058 を修正するために提供されているパッチにより、監査ログで捕捉される Web リクエストの以下のコンポーネントをより強く制御することもできます：

- parameters - cookies - headers - attributes

マスクを使用してヘッダー、パラメーター、クッキー、および属性の一部の要素を選択的にマスクすることも可能です。この機能は、2 つのシステムプロパティにより提供されており、次のパッチにより導入されています：

1）org.jboss.security.web.audit

説明：このプロパティは、Web リクエストのセキュリティ監査の粒度を制御します。

取りうる値：off = Web リクエストの監査を無効にします。headers = Web リクエストのヘッダーのみを監査します。cookies = Web リクエストのクッキーのみを監査します。parameters = Web リクエストのパラメータのみを監査します。attributes = Web リクエストの属性のみを監査します。headers、cookies、parameters = Web リクエストのヘッダー、クッキー、およびパラメータを監査します。headers,cookies =Web リクエストのヘッダーおよびクッキーを監査します。

デフォルト値：headers、parameters

例：「org.jboss.security.web.audit=off」に設定すると、Web リクエストのセキュリティ監査が全面的に無効にになります。「org.jboss.security.web.audit=headers」に設定すると、Web リクエストでヘッダーのみのセキュリティ監査が有効になります。

2）org.jboss.security.web.audit.mask

説明：このプロパティは、Web リクエストのヘッダー、パラメーター、クッキー、および属性にマッチさせる文字列の一覧を指定するために使用できます。指定されたマスクにマッチする要素は、セキュリティ監査ログ記録から除外されます。

取りうる値：ヘッダー、パラメーター、クッキー、および属性のキーを示す任意のカンマ区切り文字列。

デフォルト値：j_password、authorization

注意：現在は、マスクの一致は厳密ではなく曖昧です。たとえば、「authorization」のマスクは、authorization と呼ばれるヘッダーと「custom_authorization」と呼ばれるパラメーターの両方をマスクします。将来のリリースで、厳密なマスクが導入される可能性があります。

警告：この更新を適用する前に、既存の Red Hat JBoss Enterprise Application Platform のインストール内容および展開済みアプリケーションをバックアップしてください。

Red Hat Enterprise Linux 5 および 6 上の Red Hat JBoss Enterprise Application Platform 6.2.1 の全ユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。この更新を有効にするには、 JBoss サーバープロセスを再起動する必要があります。

更新后的 Red Hat JBoss Enterprise Application Platform 6.2.1 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

发现 Red Hat JBoss Enterprise Application Platform 6 提供的安全审计功能以明文方式记录请求参数。这样可能导致使用 BASIC 或基于 FORM 的认证时在审计日志文件中包含密码。能够访问审计日志文件的本地攻击者可能会使用此缺陷来获取应用程序或服务器认证凭据。
(CVE-2014-0058)

为修复 CVE-2014-0058 而提供的修补程序还允许对审计日志中捕获的 Web 请求的以下组件中的内容进行更多控制：

- 参数 - cookie - 标头 - 属性

还可以使用掩码选择性地掩盖标头、参数 cookie 和属性的某些元素。此修补程序引入的两个系统属性提供此功能：

1) org.jboss.security.web.audit

描述：此属性控制 Web 请求的安全审计的精细度。

可能值：off = 禁用 Web 请求审计 headers = 仅审计 Web 请求的标头 cookies = 仅审计 Web 请求的 cookie parameters = 仅审计 Web 请求的参数 attributes = 仅审计 Web 请求的属性 headers,cookies,parameters = 审计 Web 请求的标头、cookie 和参数 headers,cookies = 审计 Web 请求的标头和 cookie

默认值：headers, parameters

示例：设置“org.jboss.security.web.audit=off”会完全禁用 Web 请求的安全审计。设置“org.jboss.security.web.audit=headers”会启用 Web 请求中的仅限标头的安全审计。

2) org.jboss.security.web.audit.mask

描述：此属性可被用于指定与 Web 请求的标头、参数、cookie 和属性匹配的字符串列表。安全审计日志记录中将排除与指定掩码匹配的任何元素。

可能值：任何指明标头、参数、cookie 和属性项的逗号分隔字符串。

默认值：j_password, authorization

请注意，当前的掩码匹配为模糊匹配，而非严格匹配。例如，“authorization”掩码将掩盖名为 authorization 的标头和名为“custom_authorization”的参数。未来的版本可能会引入严格掩码。

警告：应用此更新之前，请备份现有 Red Hat JBoss Enterprise Application Platform 安装和部署的应用程序。

建议 Red Hat Enterprise Linux 5 和 6 上的所有 Red Hat JBoss Enterprise Application Platform 6.2.1 用户升级这些更新后的程序包。必须重新启动 JBoss 服务器进程才能使更新生效。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 Red Hat Jboss Enterprise Application Platform 6.2.1 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

據發現，Red Hat JBoss Enterprise Application Platform 6 提供的安全性稽核功能會以純文字記錄要求參數。這可能導致使用 BASIC 或 FORM 驗證時，將密碼記錄到稽核記錄檔中。有權存取稽核記錄檔的本機攻擊者可能利用此瑕疵，取得應用程式或伺服器驗證認證。
(CVE-2014-0058)

提供用以修正 CVE-2014-0058 的修補程式也允許針對稽核記錄擷取的 web 要求中的下列元件提供更大的控制權：

- parameters - cookies - headers - attributes

也可使用遮罩功能選擇性遮罩標頭、參數、Cookie 和屬性的部分元素。此功能來自此修補程式引入的兩個系統內容：

1) org.jboss.security.web.audit

描述：此內容可控制 Web 要求的安全性稽核細微度。

可能的值：off = 停用稽核 web 要求 headers = 僅稽核 web 要求的標頭 cookies = 僅稽核 web 要求的 cookie parameters = 僅稽核 web 要求的參數 attributes = 僅稽核 web 要求的屬性 headers,cookies,parameters = 稽核 web 要求的標頭、cookie 和參數 headers,cookies = 稽核 web 要求的標頭和 cookie

預設值：headers, parameters

範例：設定「org.jboss.security.web.audit=off」可對 web 要求完全停用安全性稽核。設定「org.jboss.security.web.audit=headers」可僅對 web 要求中的標頭啟用安全性稽核。

2) org.jboss.security.web.audit.mask

描述：此內容可用於指定要與 web 要求的標頭、參數、cookie 和屬性比對的字串清單。任何符合指定遮罩的元素，都將排除在安全性稽核記錄之外。

可能的值：任何以逗號分隔並指示標頭、參數、cookie 和屬性金鑰的字串。

預設值：j_password、authorization

請注意，目前的遮罩比對設為模糊比對，非嚴格比對例如，「authorization」遮罩會遮罩稱為授權的標頭，以及稱為「custom_authorization」的參數。未來版本可能引入嚴格遮罩功能。

警告：套用此更新之前，請先備份現有的 Red Hat JBoss Enterprise Application Platform 安裝和已部署的應用程式。

建議所有在 Red Hat Enterprise Linux 5 和 6 中使用 Red Hat JBoss Enterprise Application Platform 6.2.1 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

ID	Name	Product	Family	Published	Updated	Severity
72678	RHEL 5 / 6 : JBoss EAP (RHSA-2014:0204)	Nessus	Red Hat Local Security Checks	2/25/2014	1/14/2021	low
72678	RHEL 5 / 6：JBoss EAP（RHSA-2014:0204）	Nessus	Red Hat Local Security Checks	2/25/2014	1/14/2021	low
72678	RHEL 5 / 6：JBoss EAP (RHSA-2014:0204)	Nessus	Red Hat Local Security Checks	2/25/2014	1/14/2021	low
72678	RHEL 5 / 6 : JBoss EAP (RHSA-2014:0204)	Nessus	Red Hat Local Security Checks	2/25/2014	1/14/2021	low

Detections

Analytics

Plugins Search

low

low

low

low