The remote Redhat Enterprise Linux 5 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2014:0798 advisory.

    Red Hat JBoss Enterprise Application Platform 6 is a platform for Java     applications based on JBoss Application Server 7.

    Apache CXF is an open source services framework, which is a part of     Red Hat JBoss Enterprise Application Platform.

    It was found that the SecurityTokenService (STS), provided as a part of     Apache CXF, could under certain circumstances accept invalid SAML tokens as     valid. A remote attacker could use a specially crafted SAML token to gain     access to an application that uses STS for validation of SAML tokens.
    (CVE-2014-0034)

    A denial of service flaw was found in the way Apache CXF created error     messages for certain POST requests. A remote attacker could send a     specially crafted request which, when processed by an application using     Apache CXF, could consume an excessive amount of memory on the system,     possibly triggering an Out Of Memory (OOM) error. (CVE-2014-0109)

    It was found that when a large invalid SOAP message was processed by Apache     CXF, it could be saved to a temporary file in the /tmp directory. A remote     attacker could send a specially crafted SOAP message that, when processed     by an application using Apache CXF, would use an excessive amount of disk     space, possibly causing a denial of service. (CVE-2014-0110)

    It was found that the Java API for RESTful Web Services (JAX-RS)     implementation enabled external entity expansion by default. A remote     attacker could use this flaw to view the contents of arbitrary files     accessible to the application server user. (CVE-2014-3481)

    It was discovered that UsernameTokens were sent in plain text by an Apache     CXF client that used a Symmetric EncryptBeforeSigning password policy.
    A man-in-the-middle attacker could use this flaw to obtain the user name     and password used by the client application using Apache CXF.
    (CVE-2014-0035)

    The CVE-2014-3481 issue was discovered by the Red Hat JBoss Enterprise     Application Platform QE team.

    This release serves as a replacement for Red Hat JBoss Enterprise     Application Platform 6.2.3, and includes bug fixes and enhancements.
    Documentation for these changes will be available shortly from the Red Hat     JBoss Enterprise Application Platform 6.2.4 Release Notes, linked to in     the References.

    All users of Red Hat JBoss Enterprise Application Platform 6.2 on Red Hat     Enterprise Linux 5 are advised to upgrade to these updated packages.
    The JBoss server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2014:0799 advisory.

    Red Hat JBoss Enterprise Application Platform 6 is a platform for Java     applications based on JBoss Application Server 7.

    Apache CXF is an open source services framework, which is a part of     Red Hat JBoss Enterprise Application Platform.

    It was found that the SecurityTokenService (STS), provided as a part of     Apache CXF, could under certain circumstances accept invalid SAML tokens as     valid. A remote attacker could use a specially crafted SAML token to gain     access to an application that uses STS for validation of SAML tokens.
    (CVE-2014-0034)

    A denial of service flaw was found in the way Apache CXF created error     messages for certain POST requests. A remote attacker could send a     specially crafted request which, when processed by an application using     Apache CXF, could consume an excessive amount of memory on the system,     possibly triggering an Out Of Memory (OOM) error. (CVE-2014-0109)

    It was found that when a large invalid SOAP message was processed by Apache     CXF, it could be saved to a temporary file in the /tmp directory. A remote     attacker could send a specially crafted SOAP message that, when processed     by an application using Apache CXF, would use an excessive amount of disk     space, possibly causing a denial of service. (CVE-2014-0110)

    It was found that the Java API for RESTful Web Services (JAX-RS)     implementation enabled external entity expansion by default. A remote     attacker could use this flaw to view the contents of arbitrary files     accessible to the application server user. (CVE-2014-3481)

    It was discovered that UsernameTokens were sent in plain text by an Apache     CXF client that used a Symmetric EncryptBeforeSigning password policy.
    A man-in-the-middle attacker could use this flaw to obtain the user name     and password used by the client application using Apache CXF.
    (CVE-2014-0035)

    The CVE-2014-3481 issue was discovered by the Red Hat JBoss Enterprise     Application Platform QE team.

    This release serves as a replacement for Red Hat JBoss Enterprise     Application Platform 6.2.3, and includes bug fixes and enhancements.
    Documentation for these changes will be available shortly from the Red Hat     JBoss Enterprise Application Platform 6.2.4 Release Notes, linked to in     the References.

    All users of Red Hat JBoss Enterprise Application Platform 6.2 on Red Hat     Enterprise Linux 6 are advised to upgrade to these updated packages.
    The JBoss server process must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2014:0798 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    Apache CXF 是開放原始碼服務架構，為 Red Hat JBoss Enterprise Application Platform 的一部分。

    據發現，SecurityTokenService (STS) 隨附於 Apache CXF，在某些情況下，會將無效 SAML token 接受為有效。遠端攻擊者可使用特製的 SAML token，以取得使用 SAML token 驗證的 STS 之應用程式存取權。
    (CVE-2014-0034)

    在 Apache CXF 建立某些 POST 要求的錯誤訊息之方式中，發現拒絕服務瑕疵。遠端攻擊者可傳送特製的要求，當由使用 Apache CXF 的應用程式處理時，會在系統上消耗過量記憶體，可能觸發記憶體不足 (OOM) 錯誤。(CVE-2014-0109)

    據發現，Apache CXF 處理大型的無效 SOAP 訊息時，其可儲存為 /tmp directory 目錄中的暫存檔。遠端攻擊者可傳送特製的 SOAP 訊息，當由使用 Apache CXF 的應用程式處理時，會使用過量磁碟空間，可能引發拒絕服務。(CVE-2014-0110)

    據發現，Java API for RESTful Web Services (JAX-RS) 實作依預設啟用外部實體擴充。遠端攻擊者可利用此瑕疵，檢視應用程式伺服器使用者可存取的任意檔案內容。(CVE-2014-3481)

    據發現，UsernameTokens 會由使用 Symmetric EncryptBeforeSigning 密碼原則的 Apache CXF 用戶端以純文字進行傳送。
    攔截式攻擊者可利用此瑕疵，取得由使用 Apache CXF 的用戶端應用程式所使用的使用者名稱和密碼。
    (CVE-2014-0035)

    CVE-2014-3481 問題是由 Red Hat JBoss Enterprise Application Platform QE 團隊所發現。

    此版本將作為 Red Hat JBoss Enterprise Application Platform 6.2.3 的取代套件，其中包含錯誤修正和增強功能。
    這些變更的相關文件近期將可從〈參照〉一節中的 Red Hat JBoss Enterprise Application Platform 6.2.4 版本資訊連結中取得。

    建議所有在 Red Hat Enterprise Linux 5 中使用 Red Hat JBoss Enterprise Application Platform 6.2 的使用者皆升級至這些更新版套件。
    必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2014:0799 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    Apache CXF 是開放原始碼服務架構，為 Red Hat JBoss Enterprise Application Platform 的一部分。

    據發現，SecurityTokenService (STS) 隨附於 Apache CXF，在某些情況下，會將無效 SAML token 接受為有效。遠端攻擊者可使用特製的 SAML token，以取得使用 SAML token 驗證的 STS 之應用程式存取權。
    (CVE-2014-0034)

    在 Apache CXF 建立某些 POST 要求的錯誤訊息之方式中，發現拒絕服務瑕疵。遠端攻擊者可傳送特製的要求，當由使用 Apache CXF 的應用程式處理時，會在系統上消耗過量記憶體，可能觸發記憶體不足 (OOM) 錯誤。(CVE-2014-0109)

    據發現，Apache CXF 處理大型的無效 SOAP 訊息時，其可儲存為 /tmp directory 目錄中的暫存檔。遠端攻擊者可傳送特製的 SOAP 訊息，當由使用 Apache CXF 的應用程式處理時，會使用過量磁碟空間，可能引發拒絕服務。(CVE-2014-0110)

    據發現，Java API for RESTful Web Services (JAX-RS) 實作依預設啟用外部實體擴充。遠端攻擊者可利用此瑕疵，檢視應用程式伺服器使用者可存取的任意檔案內容。(CVE-2014-3481)

    據發現，UsernameTokens 會由使用 Symmetric EncryptBeforeSigning 密碼原則的 Apache CXF 用戶端以純文字進行傳送。
    攔截式攻擊者可利用此瑕疵，取得由使用 Apache CXF 的用戶端應用程式所使用的使用者名稱和密碼。
    (CVE-2014-0035)

    CVE-2014-3481 問題是由 Red Hat JBoss Enterprise Application Platform QE 團隊所發現。

    此版本將作為 Red Hat JBoss Enterprise Application Platform 6.2.3 的取代套件，其中包含錯誤修正和增強功能。
    這些變更的相關文件近期將可從〈參照〉一節中的 Red Hat JBoss Enterprise Application Platform 6.2.4 版本資訊連結中取得。

    建議所有在 Red Hat Enterprise Linux 6 中使用 Red Hat JBoss Enterprise Application Platform 6.2 的使用者皆升級至這些更新版套件。
    必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモート Redhat Enterprise Linux 5 ホストに、RHSA-2014:0798 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    Apache CXF は、Red Hat Jboss Enterprise Application Platform の一部のオープンソースサービスフレームワークです。

    Apache CXF の一部として提供されている SecurityTokenService（STS）が、特定の状況下において無効な SAML トークンを有効なトークンとして承認していることが判明しました。リモートの攻撃者は特別に細工された SAML トークンを利用して、SAML トークンの検証に STS を使用するアプリケーションに対するアクセスを取得することができます。
    (CVE-2014-0034)

    Apache CXF が特定の POST リクエストのエラーメッセージを作成した方法で、サービス拒否の欠陥が見つかりました。Apache CXF を使用するアプリケーションに処理される場合、リモートの攻撃者は特別に細工されたリクエストを送信できます。これにより、システム上で過剰なメモリが消費され、メモリ不足 (OOM) エラーがトリガーがされることがあります。(CVE-2014-0109)

    大量の無効な SOAP メッセージが Apache CXF により処理された場合、/tmp ディレクトの一時ファイルに保存される可能性があることが判明しました。Apache CXF を使用するアプリケーションによって処理される場合、リモートの攻撃者は特別に細工された SOAP メッセージを送信することができます。これにより、過剰なディスク容量を使用し、サービス拒否を発生させる可能性があります。(CVE-2014-0110)

    RESTful Web Service（JAX-RS）実装用の Java API が外部のエンティティ拡張をデフォルトで有効化していたことが判明しました。リモートの攻撃者はこの欠陥を利用して、アプリケーションサーバーユーザーがアクセス可能な任意のファイルのコンテンツを表示することができます。(CVE-2014-3481)

    UsernameToken が、Symmetric EncryptBeforeSigning パスワードポリシーを使用していた Apache CXF クライアントによって平文で送信されていたことが判明しました。
    中間者攻撃を行う攻撃者はこの欠陥を利用して、Apache CXF を使用するクライアントアプリケーションによって使用されるユーザー名およびパスワードを取得することができます。
    (CVE-2014-0035)

    Red Hat JBoss Enterprise Application Platform QE チームにより、CVE-2014-3481問題が発見されました。

    このリリースは、Red Hat JBoss Enterprise Application Platform 6.2.3 を置き換え、バグ修正と拡張機能が含まれています。
    これらの変更についてのドキュメントは、「参照」でリンクされている、Red Hat JBoss Enterprise Application Platform 6.2.4 のリリースノートから、間もなく使用できます。

    Red Hat Enterprise Linux 5 上の Red Hat JBoss Enterprise Application Platform 6.2 の全ユーザーは、これらの更新済みのパッケージへアップグレードすることが推奨されます。
    この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 6 ホストに、RHSA-2014:0799 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 をベースにした Java アプリケーション用のプラットフォームです。

    Apache CXF は、Red Hat Jboss Enterprise Application Platform の一部のオープンソースサービスフレームワークです。

    Apache CXF の一部として提供されている SecurityTokenService（STS）が、特定の状況下において無効な SAML トークンを有効なトークンとして承認していることが判明しました。リモートの攻撃者は特別に細工された SAML トークンを利用して、SAML トークンの検証に STS を使用するアプリケーションに対するアクセスを取得することができます。
    (CVE-2014-0034)

    Apache CXF が特定の POST リクエストのエラーメッセージを作成した方法で、サービス拒否の欠陥が見つかりました。Apache CXF を使用するアプリケーションに処理される場合、リモートの攻撃者は特別に細工されたリクエストを送信できます。これにより、システム上で過剰なメモリが消費され、メモリ不足 (OOM) エラーがトリガーがされることがあります。(CVE-2014-0109)

    大量の無効な SOAP メッセージが Apache CXF により処理された場合、/tmp ディレクトの一時ファイルに保存される可能性があることが判明しました。Apache CXF を使用するアプリケーションによって処理される場合、リモートの攻撃者は特別に細工された SOAP メッセージを送信することができます。これにより、過剰なディスク容量を使用し、サービス拒否を発生させる可能性があります。(CVE-2014-0110)

    RESTful Web Service（JAX-RS）実装用の Java API が外部のエンティティ拡張をデフォルトで有効化していたことが判明しました。リモートの攻撃者はこの欠陥を利用して、アプリケーションサーバーユーザーがアクセス可能な任意のファイルのコンテンツを表示することができます。(CVE-2014-3481)

    UsernameToken が、Symmetric EncryptBeforeSigning パスワードポリシーを使用していた Apache CXF クライアントによって平文で送信されていたことが判明しました。
    中間者攻撃を行う攻撃者はこの欠陥を利用して、Apache CXF を使用するクライアントアプリケーションによって使用されるユーザー名およびパスワードを取得することができます。
    (CVE-2014-0035)

    Red Hat JBoss Enterprise Application Platform QE チームにより、CVE-2014-3481問題が発見されました。

    このリリースは、Red Hat JBoss Enterprise Application Platform 6.2.3 を置き換え、バグ修正と拡張機能が含まれています。
    これらの変更についてのドキュメントは、「参照」でリンクされている、Red Hat JBoss Enterprise Application Platform 6.2.4 のリリースノートから、間もなく使用できます。

    Red Hat Enterprise Linux 6 の Red Hat JBoss Enterprise Application Platform 6.2 のすべてのユーザーには、これらの更新済みパッケージにアップグレードすることをお勧めします。
    この更新プログラムを有効にするには、JBoss サーバープロセスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Redhat Enterprise Linux 5 主机上安装的程序包受到 RHSA-2014:0798 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    Apache CXF 是一个开源服务框架，是 Red Hat JBoss Enterprise Application Platform 的一部分。

    已发现作为 Apache CXF 的一部分提供的 SecurityTokenService (STS) 在某些情况下可将无效 SAML 标记视为有效。远程攻击者可利用特别构建的 SAML 标记获得访问使用 STS 验证 SAML 标记的应用程序的权限。
    (CVE-2014-0034)

    在 Apache CXF 为某些 POST 请求创建错误消息的方式中发现拒绝服务缺陷。远程攻击者可以发送特别构建的请求，当使用 Apache CXF 的应用程序处理该请求时，会消耗系统上的过多内存，从而触发内存不足 (OOM) 错误。(CVE-2014-0109)

    已发现当 Apache CXF 处理大型的无效 SOAP 消息时，可能会将该消息保存到 /tmp 目录的临时文件中。远程攻击者可以发送特别构建的 SOAP 消息，当使用 Apache CXF 的应用程序处理该消息时，它会耗用过多磁盘空间，从而导致拒绝服务。(CVE-2014-0110)

    已发现 Java API for RESTful Web Services (JAX-RS) 实现在默认情况下启用了外部实体扩展。远程攻击者可利用此缺陷查看应用程序服务器用户可以访问的任意文件的内容。(CVE-2014-3481)

    已发现使用对称 EncryptBeforeSigning 密码策略的 Apache CXF 客户端以纯文本形式发送 UsernameTokens。
    中间人攻击者可利用此缺陷获取使用 Apache CXF 的客户端应用程序所使用的用户名和密码。
    (CVE-2014-0035)

    CVE-2014-3481 问题由 Red Hat JBoss Enterprise Application Platform QE 团队发现。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.2.3，并包含缺陷补丁和多项增强。
    很快即可通过“参考”中链接的 Red Hat JBoss Enterprise Application Platform 6.2.4 版本说明查看这些更改的文档。

    建议 Red Hat Enterprise Linux 5 中的所有 Red Hat JBoss Enterprise Application Platform 6.2 用户升级这些更新后的程序包。
    必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:0799 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

    Apache CXF 是一个开源服务框架，是 Red Hat JBoss Enterprise Application Platform 的一部分。

    已发现作为 Apache CXF 的一部分提供的 SecurityTokenService (STS) 在某些情况下可将无效 SAML 标记视为有效。远程攻击者可利用特别构建的 SAML 标记获得访问使用 STS 验证 SAML 标记的应用程序的权限。
    (CVE-2014-0034)

    在 Apache CXF 为某些 POST 请求创建错误消息的方式中发现拒绝服务缺陷。远程攻击者可以发送特别构建的请求，当使用 Apache CXF 的应用程序处理该请求时，会消耗系统上的过多内存，从而触发内存不足 (OOM) 错误。(CVE-2014-0109)

    已发现当 Apache CXF 处理大型的无效 SOAP 消息时，可能会将该消息保存到 /tmp 目录的临时文件中。远程攻击者可以发送特别构建的 SOAP 消息，当使用 Apache CXF 的应用程序处理该消息时，它会耗用过多磁盘空间，从而导致拒绝服务。(CVE-2014-0110)

    已发现 Java API for RESTful Web Services (JAX-RS) 实现在默认情况下启用了外部实体扩展。远程攻击者可利用此缺陷查看应用程序服务器用户可以访问的任意文件的内容。(CVE-2014-3481)

    已发现使用对称 EncryptBeforeSigning 密码策略的 Apache CXF 客户端以纯文本形式发送 UsernameTokens。
    中间人攻击者可利用此缺陷获取使用 Apache CXF 的客户端应用程序所使用的用户名和密码。
    (CVE-2014-0035)

    CVE-2014-3481 问题由 Red Hat JBoss Enterprise Application Platform QE 团队发现。

    此版本可替换 Red Hat JBoss Enterprise Application Platform 6.2.3，并包含缺陷补丁和多项增强。
    很快即可通过“参考”中链接的 Red Hat JBoss Enterprise Application Platform 6.2.4 版本说明查看这些更改的文档。

    建议 Red Hat Enterprise Linux 6 上 Red Hat JBoss Enterprise Application Platform 6.2 的所有用户都升级到这些更新后的程序包。
    必须重新启动 JBoss 服务器进程才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
76292	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.2.4 update (Moderate) (RHSA-2014:0798)	Nessus	Red Hat Local Security Checks	6/28/2014	4/29/2025	medium
76293	RHEL 6 : Red Hat JBoss Enterprise Application Platform 6.2.4 update (Moderate) (RHSA-2014:0799)	Nessus	Red Hat Local Security Checks	6/28/2014	3/21/2025	medium
76292	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.2.4 更新 (中等) (RHSA-2014:0798)	Nessus	Red Hat Local Security Checks	6/28/2014	4/29/2025	medium
76293	RHEL 6：Red Hat JBoss Enterprise Application Platform 6.2.4 更新 (中等) (RHSA-2014:0799)	Nessus	Red Hat Local Security Checks	6/28/2014	3/21/2025	medium
76292	RHEL 5 : Red Hat JBoss Enterprise Application Platform 6.2.4 の更新 (重要度中) (RHSA-2014:0798)	Nessus	Red Hat Local Security Checks	6/28/2014	4/29/2025	medium
76293	RHEL 6: Red Hat JBoss Enterprise Application Platform 6.2.4 の更新プログラム (重大度中) (RHSA-2014:0799)	Nessus	Red Hat Local Security Checks	6/28/2014	3/21/2025	medium
76292	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.2.4 更新（中危）(RHSA-2014:0798)	Nessus	Red Hat Local Security Checks	6/28/2014	4/29/2025	medium
76293	RHEL 6：Red Hat JBoss Enterprise Application Platform 6.2.4 更新（中危）(RHSA-2014:0799)	Nessus	Red Hat Local Security Checks	6/28/2014	3/21/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium