The remote Redhat Enterprise Linux 6 / 7 / 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2020:2063 advisory.

    Red Hat JBoss Enterprise Application Platform 7 is a platform for Java applications based on the WildFly     application runtime.

    This asynchronous patch is a security update for the Infinispan package in Red Hat JBoss Enterprise     Application Platform 7.2 for Red Hat Enterprise Linux 6, 7, and 8.

    Security Fix(es):

    * infinispan-core: infinispan: invokeAccessibly method from ReflectionUtil class allows to invoke private     methods (CVE-2019-10174)

    * jsf-impl: mojarra: Path traversal in ResourceManager.java:getLocalePrefix() via the loc parameter     (CVE-2018-14371)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, see the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Redhat Enterprise Linux 6 / 8 ホストにインストールされているパッケージは、RHSA-2020: 2063 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  -mojarra：ResourceManager.javaでのパストラバーサル：locパラメーターによるgetLocalePrefix() （CVE-2018-14371）

  - infinispan：ReflectionUtilクラスのinvokeAccessibleメソッドを使用して、プライベートメソッドを呼び出すことが可能です（CVE-2019-10174）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2024:5856 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.1.7のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.6に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.1.7 リリースノート』を参照してください。

    セキュリティ修正プログラム:

    * undertow: EAP: フィールド名が RFC7230 に沿って解析されない [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils: apache-commons-beanutils: デフォルトで PropertyUtilsBean 内のクラスプロパティを抑制しない [eap-7.1.z] (CVE-2019-10086)

    * log4j: アプリケーションが JMSSink を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind: デフォルトの入力ミス処理により、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-14379)

    * undertow: HTTP/2: HEADERS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9514)

    * undertow: AJP ファイル読み取り/インクルージョンの脆弱性 [eap-7.1.z] (CVE-2020-1745)

    * undertow: HTTP/2: 大量のデータリクエストにより、サービス拒否が引き起こされる [eap-7.1.z] (CVE-2019-9511)

    * undertow: servletPath が不適切に正規化され、危険なアプリケーションマッピングが行われることによる、セキュリティバイパスの可能性 [eap-7.1.z] (CVE-2020-1757)

    * undertow: HTTPS でリッスンしている Undertow HTTP サーバーでのサービス拒否 (DoS) の可能性 [eap-7.1.z] (CVE-2019-14888)

    * log4j: チェーンソーログビューアーの安全でない逆シリアル化の欠陥 [eap-7.1.z] (CVE-2022-23307)

    * netty: HttpObjectDecoder.java が、Content-Length ヘッダーに 2 つ目の Content-Length ヘッダーを付加できる [eap-7.1.z]（CVE-2019-20445）

    * log4j: アプリケーションが JMSAppender を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2021-4104)

    * undertow: HTTP/2: SETTINGS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core: infinispan: ReflectionUtil クラスの invokeAccessibly メソッドを使用して、プライベートメソッドを呼び出すことが可能 [eap-7.1.z] (CVE-2019-10174)

    * log4j: アプリケーションが JDBCAppender を使用するように設定されているときの Log4j 1.xでの SQL インジェクション [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind: logback-core クラスを多態的な逆シリアル化からブロックできないことによる、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager: セキュリティマネージャーの認証バイパス (CVE-2019-14843)

    * HTTP/2: PING フレームを使用したフラッドにより、メモリが無制限に増加する (CVE-2019-9512)

    * netty: HTTP ヘッダーでコロンの前の空白を適切に処理しないことによる HTTP リクエストスマグリング (CVE-2019-16869)

    * jackson-databind: org.apache.log4j.receivers.db.* でのシリアル化ガジェット (CVE-2019-17531)

    * netty: HTTP リクエストスマグリング (CVE-2019-20444)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Redhat Enterprise Linux 6 / 8 主机上安装的程序包受到 RHSA-2020: 2063 公告中提及的多个漏洞影响。

  - mojarra：ResourceManager.java 中的路径遍历：通过 loc 参数获取 LocalePrefix() (CVE-2018-14371)

  - infinispan：ReflectionUtil 类的 invokeAccessibly 方法允许调用私有方法 (CVE-2019-10174)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 6/8 主機上安裝的套件受到 RHSA-2020: 2063 公告中提及的多個弱點影響。

  - mojarra：ResourceManager.java 中的路徑遊走：透過 loc 參數取得 LocalePrefix() (CVE-2018-14371)

  - infinispan：ReflectionUtil 類別的 invokeAccessibly 方法允許叫用私密方法 (CVE-2019-10174)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:5856 advisory.

    Red Hat JBoss Enterprise Application Platform 7 is a platform for Java applications based on the WildFly     application runtime. This release of Red Hat JBoss Enterprise Application Platform 7.1.7 serves as a     replacement for Red Hat JBoss Enterprise Application Platform 7.1.6, and includes bug fixes and     enhancements. See the Red Hat JBoss Enterprise Application Platform 7.1.7 Release Notes for information     about the most significant bug fixes and enhancements included in this release.

    Security Fix(es):

    * undertow: EAP: field-name is not parsed in accordance to RFC7230 [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils: apache-commons-beanutils: does not suppresses the class property in PropertyUtilsBean     by default [eap-7.1.z] (CVE-2019-10086)

    * log4j: Remote code execution in Log4j 1.x when application is configured to use JMSSink [eap-7.1.z]     (CVE-2022-23302)

    * jackson-databind: default typing mishandling leading to remote code execution [eap-7.1.z]     (CVE-2019-14379)

    * undertow: HTTP/2: flood using HEADERS frames results in unbounded memory growth [eap-7.1.z]     (CVE-2019-9514)

    * undertow: AJP File Read/Inclusion Vulnerability [eap-7.1.z] (CVE-2020-1745)

    * undertow: HTTP/2: large amount of data requests leads to denial of service [eap-7.1.z] (CVE-2019-9511)

    * undertow: servletPath in normalized incorrectly leading to dangerous application mapping which could     result in security bypass [eap-7.1.z] (CVE-2020-1757)

    * undertow: possible Denial Of Service (DOS) in Undertow HTTP server listening on HTTPS [eap-7.1.z]     (CVE-2019-14888)

    * log4j: Unsafe deserialization flaw in Chainsaw log viewer [eap-7.1.z] (CVE-2022-23307)

    * netty: HttpObjectDecoder.java allows Content-Length header to accompanied by second Content-Length     header [eap-7.1.z] (CVE-2019-20445)

    * log4j: Remote code execution in Log4j 1.x when application is configured to use JMSAppender [eap-7.1.z]     (CVE-2021-4104)

    * undertow: HTTP/2: flood using SETTINGS frames results in unbounded memory growth [eap-7.1.z]     (CVE-2019-9515)

    * infinispan-core: infinispan: invokeAccessibly method from ReflectionUtil class allows to invoke private     methods [eap-7.1.z] (CVE-2019-10174)

    * log4j: SQL injection in Log4j 1.x when application is configured to use JDBCAppender [eap-7.1.z]     (CVE-2022-23305)

    * jackson-databind: failure to block the logback-core class from polymorphic deserialization leading to     remote code execution [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager: security manager authorization bypass (CVE-2019-14843)

    * HTTP/2: flood using PING frames results in unbounded memory growth (CVE-2019-9512)

    * netty: HTTP request smuggling by mishandled whitespace before the colon in HTTP headers (CVE-2019-16869)

    * jackson-databind: Serialization gadgets in org.apache.log4j.receivers.db.* (CVE-2019-17531)

    * netty: HTTP request smuggling (CVE-2019-20444)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Redhat Enterprise Linux 7 主機上安裝的多個套件受到 RHSA-2024:5856 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 7 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 7.1.7 是 Red Hat JBoss Enterprise Application Platform 7.1.6 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.1.7 版本資訊。

    安全性修正：

    * undertow：EAP：未依照 RFC7230 剖析欄位名稱 [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils：apache-commons-beanutils：未預設隱藏 PropertyUtilsBean 中的類別屬性 [eap-7.1.z] (CVE-2019-10086)

    * log4j：應用程式設定為使用 JMSSink 時，Log4j 1.x 中將出現遠端程式碼執行問題 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind：預設輸入處理不當導致遠端程式碼執行 [eap-7.1.z] (CVE-2019-14379)

    * undertow：HTTP/2：使用 HEADERS 框架的溢流導致記憶體無限增長 [eap-7.1.z] (CVE-2019-9514)

    * undertow：AJP 檔案讀取/包含弱點 [eap-7.1.z] (CVE-2020-1745)

    * undertow：HTTP/2：大量的資料要求導致拒絕服務 [eap-7.1.z] (CVE-2019-9511)

    * undertow：servletPath 未經正確標準化，可造成危險的應用程式對應，進而可導致安全機制迴避 [eap-7.1.z] (CVE-2020-1757)

    * undertow：在接聽 HTTPS 的 Undertow HTTP 伺服器中可能發生拒絕服務 (DOS) [eap-7.1.z] (CVE-2019-14888)

    * log4j：Chainsaw 記錄檢視器中的不安全還原序列化缺陷 [eap-7.1.z] (CVE-2022-23307)

    * netty：HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭 [eap-7.1.z] (CVE-2019-20445)

    * log4j：應用程式設定為使用 JMSAppender 時，Log4j 1.x 中將出現遠端程式碼執行問題 [eap-7.1.z] (CVE-2021-4104)

    * undertow：HTTP/2：使用 SETTINGS 框架的溢流導致記憶體無限增長 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core：infinispan：ReflectionUtil 類別的 invokeAccessibly 方法允許叫用私密方法 [eap-7.1.z] (CVE-2019-10174)

    * log4j：應用程式設定為使用 JDBCAppender 時，Log4j 1.x 中將出現 SQL 插入問題 [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager：安全性管理員授權繞過 (CVE-2019-14843)

    * HTTP/2：使用 PING 框架的溢流，會導致無限的記憶體增長 (CVE-2019-9512)

    * netty：未正確處理 HTTP 標頭冒號前的空格而導致 HTTP 要求走私 (CVE-2019-16869)

    * jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

    * netty：HTTP 要求走私 (CVE-2019-20444)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2024:5856 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 7 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.1.7 版本可替换 Red Hat JBoss Enterprise Application Platform 7.1.6，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.1.7 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * undertow：EAP：字段名称未按照 RFC7230 进行解析 [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils：apache-commons-beanutils：未在默认情况下禁用 PropertyUtilsBean 中的类属性 [eap-7.1.z] (CVE-2019-10086)

    * log4j：当应用程序配置为使用 JMSSink 时，Log4j 1.x 中会发生远程代码执行问题 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind：未正确处理默认输入导致远程代码执行 [eap-7.1.z] (CVE-2019-14379)

    * undertow：HTTP/2：使用 HEADERS 框架的洪流导致无限制内存增长 [eap-7.1.z] (CVE-2019-9514)

    * undertow：AJP 文件读取/注入漏洞 [eap-7.1.z] (CVE-2020-1745)

    * undertow：HTTP/2：大量的数据请求导致拒绝服务 [eap-7.1.z] (CVE-2019-9511)

    * undertow：servletPath 未经正确标准化，因此会造成危险的应用程序映射，这可能会导致安全绕过 [eap-7.1.z] (CVE-2020-1757)

    * undertow：侦听 HTTPS 的 Undertow HTTP 服务器中可能存在的拒绝服务 (DOS) 漏洞 [eap-7.1.z] (CVE-2019-14888)

    * log4j：Chainsaw 日志查看器中存在不安全的反序列化缺陷 [eap-7.1.z] (CVE-2022-23307)

    * netty：HttpObjectDecoder.java 允许内容长度标头附带第二个内容长度标头 [eap-7.1.z] (CVE-2019-20445)

    * log4j：当应用程序配置为使用 JMSAppender 时，Log4j 1.x 中会发生远程代码执行问题 [eap-7.1.z] (CVE-2021-4104)

    * undertow：HTTP/2：使用 SETTINGS 框架的 Flood 导致无限制的内存增长 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core：infinispan：ReflectionUtil 类的 invokeAccessibly 方法允许调用私有方法 [eap-7.1.z] (CVE-2019-10174)

    * log4j：当应用程序配置为使用 JDBCAppender 时，Log4j 1.x 中会发生 SQL 注入问题 [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind：无法阻止 logback-core 类进行多态反序列化，可导致远程代码执行 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager：安全管理器授权绕过 (CVE-2019-14843)

    * HTTP/2：使用 PING 帧进行淹没会导致无限的内存增长 (CVE-2019-9512)

    * netty：通过错误处理 HTTP 标头冒号前的空格来触发 HTTP 请求走私攻击 (CVE-2019-16869)

    * jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

    * netty：HTTP 请求走私 (CVE-2019-20444)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
136479	RHEL 6 / 7 / 8 : Red Hat JBoss Enterprise Application Platform 7.2 (RHSA-2020:2063)	Nessus	Red Hat Local Security Checks	5/11/2020	11/7/2024	high
136479	RHEL 6 / 8 : Red Hat JBoss Enterprise Application Platform 7.2（RHSA-2020: 2063)	Nessus	Red Hat Local Security Checks	5/11/2020	11/7/2024	high
206210	RHEL 7 : RHEL 7 上の Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	8/26/2024	11/7/2024	critical
136479	RHEL 6 / 8：Red Hat JBoss Enterprise Application Platform 7.2 (RHSA-2020: 2063)	Nessus	Red Hat Local Security Checks	5/11/2020	11/7/2024	high
136479	RHEL 6/8：Red Hat JBoss Enterprise Application Platform 7.2 (RHSA-2020: 2063)	Nessus	Red Hat Local Security Checks	5/11/2020	11/7/2024	high
206210	RHEL 7 : Red Hat JBoss Enterprise Application Platform 7.1.7 on RHEL 7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	8/26/2024	11/7/2024	critical
206210	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	8/26/2024	11/7/2024	critical
206210	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	8/26/2024	11/7/2024	critical

Detections

Analytics

Plugins Search

high

high

critical

high

high

critical

critical

critical