云安全日报220207：红帽Jboss中间件平台发现远程代

Red Hat JBoss Enterprise Application Platform（EAP）是红帽（Red Hat）公司的一套开源的、基于J2EE的中间件平台。该平台主要用于构建、部署和托管Java应用程序与服务。2月4日,RedHat发布了安全更新，修复了红帽Jboss EAP中间件平台中发现的一些重要漏洞。以下是漏洞详情

漏洞详情

来源https://aess.redhat./errata/RHSA-2022:0438

1.CVE-2022-23305 CVSS评分8.1 严重程度严重

在 1.x 版的 Java 日志库 Apache Log4j 中发现了一个漏洞。Log4j 1.x 中的 JDBCAppender 容易受到不受信任数据中的SQL注入的影响。如果部署的应用程序被配置为使用带有某些插值令牌的 JDBCAppender，这允许远程攻击者在数据库中运行 SQL 语句。

2.CVE-2022-23307 CVSS评分8.1 严重程度严重

在log4j 1.x链锯组件中发现了一个漏洞，其中某些日志条目的内容被反序列化并可能允许代码执行。此漏洞允许攻击者在运行电锯组件时向服务器发送带有序列化数据的恶意请求以进行反序列化。

3.CVE-2021-4104 CVSS评分7.5 严重程度严重

在 1.x 版的 Java 日志库 Apache Log4j 中发现了一个漏洞。Log4j 1.x 中的 JMSAppender 容易受到不受信任数据的反序列化。如果部署的应用程序配置为使用 JMSAppender 和攻击者的 JNDI LDAP 端点，这允许远程攻击者在服务器上执行代码。

4.CVE-2022-23302 CVSS评分7.5 严重程度严重

在 1.x 版的 Java 日志库 Apache Log4j 中发现了一个漏洞。Log4j 1.x 中的 JMSSink 容易受到不受信任数据的反序列化。如果部署了 JMSSink 并且已配置为执行 JNDI 请求，这允许远程攻击者在服务器上执行代码。

受影响产品和版本

JBoss Enterprise Application Platform 6.4 for RHEL 7 x86_64

JBoss Enterprise Application Platform 6.4 for RHEL 7 ppc64

JBoss Enterprise Application Platform 6.4 for RHEL 6 x86_64

JBoss Enterprise Application Platform 6.4 for RHEL 6 ppc64

JBoss Enterprise Application Platform 6.4 for RHEL 6 i386

JBoss Enterprise Application Platform 6 for RHEL 7 x86_64

JBoss Enterprise Application Platform 6 for RHEL 7 ppc64

JBoss Enterprise Application Platform 6 for RHEL 6 x86_64

JBoss Enterprise Application Platform 6 for RHEL 6 ppc64

JBoss Enterprise Application Platform 6 for RHEL 6 i386

解决方案

Red Hat JBoss Enterprise Application Platform 6.4 for Red Hat Enterprise Linux 5、6 和 7 的更新现已推出。

有关如何应用此更新的详细信息，请参阅

https://aess.redhat./articles/11258

查看更多漏洞信息 以及升级请访问官网

https://aess.redhat./security/security-updates/#/security-advisories