当前位置：首页 > 科技 > 知识百科

云安全日报220207：红帽Jboss中间件平台发现远程代码执行漏洞，需要尽快升级

来源：责编：时间：2023-08-07 16:29:50 157观看

导读 Red Hat JBoss Enterprise Application Platform（EAP）是红帽（Red Hat）公司的一套开源的、基于J2EE的中间件平台。该平台主要用于构建、部署和托管Java应用程序与服务。2月4日,Re

Red Hat JBoss Enterprise Application Platform（EAP）是红帽（Red Hat）公司的一套开源的、基于J2EE的中间件平台。该平台主要用于构建、部署和托管Java应用程序与服务。2月4日,RedHat发布了安全更新，修复了红帽Jboss EAP中间件平台中发现的一些重要漏洞。以下是漏洞详情：

漏洞详情

来源：https://access.redhat.com/errata/RHSA-2022:0438

1.CVE-2022-23305 CVSS评分：8.1 严重程度：严重

在 1.x 版的 Java 日志库 Apache Log4j 中发现了一个漏洞。Log4j 1.x 中的 JDBCAppender 容易受到不受信任数据中的SQL注入的影响。如果部署的应用程序被配置为使用带有某些插值令牌的 JDBCAppender，这允许远程攻击者在数据库中运行 SQL 语句。

2.CVE-2022-23307 CVSS评分：8.1 严重程度：严重

在log4j 1.x链锯组件中发现了一个漏洞，其中某些日志条目的内容被反序列化并可能允许代码执行。此漏洞允许攻击者在运行电锯组件时向服务器发送带有序列化数据的恶意请求以进行反序列化。

3.CVE-2021-4104 CVSS评分：7.5 严重程度：严重

在 1.x 版的 Java 日志库 Apache Log4j 中发现了一个漏洞。Log4j 1.x 中的 JMSAppender 容易受到不受信任数据的反序列化。如果部署的应用程序配置为使用 JMSAppender 和攻击者的 JNDI LDAP 端点，这允许远程攻击者在服务器上执行代码。

4.CVE-2022-23302 CVSS评分：7.5 严重程度：严重

在 1.x 版的 Java 日志库 Apache Log4j 中发现了一个漏洞。Log4j 1.x 中的 JMSSink 容易受到不受信任数据的反序列化。如果部署了 JMSSink 并且已配置为执行 JNDI 请求，这允许远程攻击者在服务器上执行代码。

受影响产品和版本

JBoss Enterprise Application Platform 6.4 for RHEL 7 x86_64

JBoss Enterprise Application Platform 6.4 for RHEL 7 ppc64

JBoss Enterprise Application Platform 6.4 for RHEL 6 x86_64

JBoss Enterprise Application Platform 6.4 for RHEL 6 ppc64

JBoss Enterprise Application Platform 6.4 for RHEL 6 i386

JBoss Enterprise Application Platform 6 for RHEL 7 x86_64

JBoss Enterprise Application Platform 6 for RHEL 7 ppc64

JBoss Enterprise Application Platform 6 for RHEL 6 x86_64

JBoss Enterprise Application Platform 6 for RHEL 6 ppc64

JBoss Enterprise Application Platform 6 for RHEL 6 i386

解决方案

Red Hat JBoss Enterprise Application Platform 6.4 for Red Hat Enterprise Linux 5、6 和 7 的更新现已推出。

有关如何应用此更新的详细信息，请参阅：

https://access.redhat.com/articles/11258

查看更多漏洞信息以及升级请访问官网：

https://access.redhat.com/security/security-updates/#/security-advisories

本文链接：http://www.28at.com/showinfo-119-2130-0.html云安全日报220207：红帽Jboss中间件平台发现远程代码执行漏洞，需要尽快升级

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇： Intel重回高性能GPU市场！Xe HPG微架构潜力无穷

下一篇：云计算开发：Python3-title()方法详解

标签：

热门焦点

K60 Pro官方停产第三方瞬间涨价

虽然没有官方宣布，但Redmi的一些高管也已经透露了，Redmi K60 Pro已经停产且不会补货，这一切都是为了即将到来的K60 Ultra铺路，属于厂家的正常操作。但有意思的是该机在停产之后
Mate60手机壳曝光致敬自己的经典设计

8月3日消息，今天下午博主数码闲聊站带来了华为Mate60的第三方手机壳图，可以让我们在真机发布之前看看这款华为全新旗舰的大致轮廓。从曝光的图片看，Mate 60背后摄像头面积依然
Golang 中的 io 包详解：组合接口

io.ReadWriter// ReadWriter is the interface that groups the basic Read and Write methods.type ReadWriter interface { Reader Writer}是对Reader和Writer接口的组合，
学习JavaScript的10个理由...

作者 | Simplilearn编译 | 王瑞平当你决心学习一门语言的时候，很难选择到底应该学习哪一门，常用的语言有Python、Java、JavaScript、C/CPP、PHP、Swift、C#、Ruby、Objective-
从零到英雄：高并发与性能优化的神奇之旅

作者 | 波哥审校 | 重楼作为公司的架构师或者程序员，你是否曾经为公司的系统在面对高并发和性能瓶颈时感到手足无措或者焦头烂额呢？笔者在出道那会为此是吃尽了苦头的，不过也得
2023年，我眼中的字节跳动

此时此刻（2023年7月），字节跳动从未上市，也从未公布过任何官方的上市计划；但是这并不妨碍它成为中国最受关注的互联网公司之一。从2016-17年的抖音强势崛起，到2018年的“头腾
AI芯片初创公司Tenstorrent获三星和现代1亿美元投资

Tenstorrent是一家由芯片行业资深人士Jim Keller领导的加拿大初创公司，专注于开发人工智能芯片，该公司周三表示，已经从现代汽车集团和三星投资基金等
利用职权私自解除被封帐号 Meta开除20多名员工

11月18日消息，据外媒援引知情人士表示，过去一年时间内，Facebook母公司Meta解雇或处罚了20多名员工以及合同工，指控这些人通过内部系统以不当方式重置用户帐号，其
荣耀Magic4 至臻版首创智慧隐私通话强劲影音系统

2022年第一季度临近尾声，在该季度内，许多品牌陆续发布自己的最新产品，让大家从全新的角度来了解当今的手机技术。手机是电子设备中，更新迭代十分迅速的一款产品，基