An updated activemq package that fixes multiple security issues is now available for Red Hat OpenShift Enterprise 1.2.7.

The Red Hat Security Response Team has rated this update as having Important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Apache ActiveMQ provides a SOA infrastructure to connect processes across heterogeneous systems.

A flaw was found in Apache Camel's parsing of the FILE_NAME header. A remote attacker able to submit messages to a Camel route, which would write the provided message to a file, could provide expression language (EL) expressions in the FILE_NAME header, which would be evaluated on the server. This could lead to arbitrary remote code execution in the context of the Camel server process. (CVE-2013-4330)

It was found that the Apache Camel XSLT component allowed XSL stylesheets to call external Java methods. A remote attacker able to submit messages to a Camel route could use this flaw to perform arbitrary remote code execution in the context of the Camel server process. (CVE-2014-0003)

It was discovered that the Spring OXM wrapper did not expose any property for disabling entity resolution when using the JAXB unmarshaller. A remote attacker could use this flaw to conduct XML External Entity (XXE) attacks on websites, and read files in the context of the user running the application server. The patch for this flaw disables external entity processing by default, and provides a configuration directive to re-enable it. (CVE-2013-4152)

The HawtJNI Library class wrote native libraries to a predictable file name in /tmp/ when the native libraries were bundled in a JAR file, and no custom library path was specified. A local attacker could overwrite these native libraries with malicious versions during the window between when HawtJNI writes them and when they are executed.
(CVE-2013-2035)

The CVE-2013-2035 issue was discovered by Florian Weimer of the Red Hat Product Security Team, and the CVE-2014-0003 issue was discovered by David Jorm of the Red Hat Security Response Team.

All users of Red Hat OpenShift Enterprise 1.2.7 are advised to upgrade to this updated package, which corrects these issues.

An updated activemq package that fixes multiple security issues is now available for Red Hat OpenShift Enterprise 2.0.

The Red Hat Security Response Team has rated this update as having Important security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Apache ActiveMQ provides a SOA infrastructure to connect processes across heterogeneous systems.

A flaw was found in Apache Camel's parsing of the FILE_NAME header. A remote attacker able to submit messages to a Camel route, which would write the provided message to a file, could provide expression language (EL) expressions in the FILE_NAME header, which would be evaluated on the server. This could lead to arbitrary remote code execution in the context of the Camel server process. (CVE-2013-4330)

It was found that the Apache Camel XSLT component allowed XSL stylesheets to call external Java methods. A remote attacker able to submit messages to a Camel route could use this flaw to perform arbitrary remote code execution in the context of the Camel server process. (CVE-2014-0003)

It was discovered that the Spring OXM wrapper did not expose any property for disabling entity resolution when using the JAXB unmarshaller. A remote attacker could use this flaw to conduct XML External Entity (XXE) attacks on websites, and read files in the context of the user running the application server. The patch for this flaw disables external entity processing by default, and provides a configuration directive to re-enable it. (CVE-2013-4152)

The HawtJNI Library class wrote native libraries to a predictable file name in /tmp/ when the native libraries were bundled in a JAR file, and no custom library path was specified. A local attacker could overwrite these native libraries with malicious versions during the window between when HawtJNI writes them and when they are executed.
(CVE-2013-2035)

The CVE-2013-2035 issue was discovered by Florian Weimer of the Red Hat Product Security Team, and the CVE-2014-0003 issue was discovered by David Jorm of the Red Hat Security Response Team.

All users of Red Hat OpenShift Enterprise 2.0 are advised to upgrade to this updated package, which corrects these issues.

複数のセキュリティの問題を修正したactivemqの更新済みパッケージがRed Hat OpenShift Enterprise 2.0で利用可能になりました。Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Apache ActiveMQは、異種システム間でプロセスを接続するためのSOAインフラストラクチャを提供します。Apache CamelによるFILE_NAMEヘッダーの解析に欠陥が見つかりました。提供されたメッセージをファイルに書き込むCamelルートにメッセージを送信できるリモートの攻撃者が、FILE_NAMEヘッダーにExpression Language（EL）式を提供し、これがサーバーで計算される可能性があります。これにより、Camelサーバープロセスのコンテキストで任意のコードがリモートで実行される可能性があります。（CVE-2013-4330）Apache Camel XSLTコンポーネントにより、XSLスタイルシートから外部のJavaメソッドを呼び出せることがわかりました。Camelルートにメッセージを送信できるリモートの攻撃者が、この欠陥を悪用してCamelサーバープロセスのコンテキストで任意のコードをリモートで実行する可能性があります。（CVE-2014-0003）JAXB unmarshallerを使用しているとき、Spring OXMラッパーは、エンティティ解決を無効にするプロパティを明らかにしないことが発見されました。リモートの攻撃者がこの欠陥を悪用し、Webサイトに対してXML外部エンティティ（XXE）攻撃を仕掛け、アプリケーションサーバーを実行しているユーザーのコンテキストでファイルを読み取る可能性があります。この欠陥に対するパッチは、外部エンティティの処理をデフォルトで無効にし、これを再度有効にする構成ディレクティブを提供します。（CVE-2013-4152）ネイティブライブラリがJARファイルにバンドルされており、カスタムのライブラリパスが指定されていないとき、HawtJNI Libraryクラスはネイティブライブラリを/tmp/の中の予測可能なファイル名に書き込みます。HawtJNIがネイティブライブラリの書き込みを行ってから実行するまでの間に、ローカルの攻撃者が、悪意のあるバージョンで、これらのネイティブライブラリを上書きする可能性があります。（CVE-2013-2035）CVE-2013-2035の問題は、Red Hat製品セキュリティチームのFlorian Weimer氏により発見され、CVE-2014-0003の問題は、Red HatセキュリティレスポンスチームのDavid Jorm氏により発見されました。Red Hat OpenShift Enterprise 2.0のすべてのユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

複数のセキュリティの問題を修正する更新済みのactivemqパッケージが、Red Hat OpenShift Enterprise 1.2.7で利用可能になりました。Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。Apache ActiveMQは、異種システム間でプロセスを接続するためのSOAインフラストラクチャを提供します。Apache CamelによるFILE_NAMEヘッダーの解析に欠陥が見つかりました。提供されたメッセージをファイルに書き込むCamelルートにメッセージを送信できるリモートの攻撃者が、FILE_NAMEヘッダーにExpression Language（EL）式を提供し、これがサーバーで計算される可能性があります。これにより、Camelサーバープロセスのコンテキストで任意のコードがリモートで実行される可能性があります。（CVE-2013-4330）Apache Camel XSLTコンポーネントにより、XSLスタイルシートから外部のJavaメソッドを呼び出せることがわかりました。Camelルートにメッセージを送信できるリモートの攻撃者が、この欠陥を悪用してCamelサーバープロセスのコンテキストで任意のコードをリモートで実行する可能性があります。（CVE-2014-0003）JAXB unmarshallerを使用しているとき、Spring OXMラッパーは、エンティティ解決を無効にするプロパティを明らかにしないことが発見されました。リモートの攻撃者がこの欠陥を悪用し、Webサイトに対してXML外部エンティティ（XXE）攻撃を仕掛け、アプリケーションサーバーを実行しているユーザーのコンテキストでファイルを読み取る可能性があります。この欠陥に対するパッチは、外部エンティティの処理をデフォルトで無効にし、これを再度有効にする構成ディレクティブを提供します。（CVE-2013-4152）ネイティブライブラリがJARファイルにバンドルされており、カスタムのライブラリパスが指定されていないとき、HawtJNI Libraryクラスはネイティブライブラリを/tmp/の中の予測可能なファイル名に書き込みます。HawtJNIがネイティブライブラリの書き込みを行ってから実行するまでの間に、ローカルの攻撃者が、悪意のあるバージョンで、これらのネイティブライブラリを上書きする可能性があります。（CVE-2013-2035）CVE-2013-2035の問題は、Red Hat製品セキュリティチームのFlorian Weimer氏により発見され、CVE-2014-0003の問題は、Red HatセキュリティレスポンスチームのDavid Jorm氏により発見されました。Red Hat OpenShift Enterprise 1.2.7のすべてのユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

現已提供適用於 Red Hat OpenShift Enterprise 2.0 的更新版 activemq 套件，可修正多個安全性問題。Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Apache ActiveMQ 提供 SOA 基礎架構以連線所有異質系統的程序。在 Apache Camel 的 FILE_NAME 標頭剖析中發現一個缺陷。能夠將訊息提交到 Camel 路由並將提供的訊息寫入檔案的遠端攻擊者可在 FILE_NAME 標頭中提供將在伺服器上進行評估的運算式語言 (EL) 運算式。這可導致在 Camel 伺服器處理程序的內容中執行任意遠端程式碼。(CVE-2013-4330) 據發現，Apache Camel XSLT 元件允許 XSL 樣式表呼叫外部 Java 方法。能夠將訊息提交到 Camel 路由的遠端攻擊者可利用此缺陷，在 Camel 伺服器處理程序的內容中執行任意遠端程式碼。(CVE-2014-0003) 據發現，使用 JAXB 取消封送處理器時，Spring OXM 包裝函式並未暴露停用實體解析的任何內容。遠端攻擊者可利用此缺陷，在網站上發動 XML 外部實體 (XXE) 攻擊，並在執行應用程式伺服器之使用者的內容中讀取檔案。此缺陷的修補程式預設會停用外部實體處理，並提供組態指示詞來重新啟用它。(CVE-2013-4152) 當原生程式庫隨附於 JAR 檔案中，且沒有指定自訂程式庫路徑時，HawtJNI 程式庫類別將原生程式庫寫入 /tmp/ 中可預測的檔案名稱。在 HawtJNI 寫入這些原生程式庫到它們執行前的這段時間內，本機攻擊者可以惡意的版本覆寫這些程式庫。(CVE-2013-2035) CVE-2013-2035 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現的；CVE-2014-0003 問題則是由 Red Hat 安全性回應團隊的 David Jorm 所發現的。建議 Red Hat OpenShift Enterprise 2.0 的所有使用者皆升級至此更新版套件，其可更正這些問題。

現已提供適用於 Red Hat OpenShift Enterprise 1.2.7 的更新版 activemq 套件，可修正多個安全性問題。Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Apache ActiveMQ 提供 SOA 基礎架構以連線所有異質系統的程序。在 Apache Camel 的 FILE_NAME 標頭剖析中發現一個缺陷。能夠將訊息提交到 Camel 路由並將提供的訊息寫入檔案的遠端攻擊者可在 FILE_NAME 標頭中提供將在伺服器上進行評估的運算式語言 (EL) 運算式。這可導致在 Camel 伺服器處理程序的內容中執行任意遠端程式碼。(CVE-2013-4330) 據發現，Apache Camel XSLT 元件允許 XSL 樣式表呼叫外部 Java 方法。能夠將訊息提交到 Camel 路由的遠端攻擊者可利用此缺陷，在 Camel 伺服器處理程序的內容中執行任意遠端程式碼。(CVE-2014-0003) 據發現，使用 JAXB 取消封送處理器時，Spring OXM 包裝函式並未暴露停用實體解析的任何內容。遠端攻擊者可利用此缺陷，在網站上發動 XML 外部實體 (XXE) 攻擊，並在執行應用程式伺服器之使用者的內容中讀取檔案。此缺陷的修補程式預設會停用外部實體處理，並提供組態指示詞來重新啟用它。(CVE-2013-4152) 當原生程式庫隨附於 JAR 檔案中，且沒有指定自訂程式庫路徑時，HawtJNI 程式庫類別將原生程式庫寫入 /tmp/ 中可預測的檔案名稱。在 HawtJNI 寫入這些原生程式庫到它們執行前的這段時間內，本機攻擊者可以惡意的版本覆寫這些程式庫。(CVE-2013-2035) CVE-2013-2035 問題是由 Red Hat 產品安全性團隊的 Florian Weimer 所發現的；CVE-2014-0003 問題則是由 Red Hat 安全性回應團隊的 David Jorm 所發現的。建議 Red Hat OpenShift Enterprise 1.2.7 的所有使用者皆升級至此更新版套件，其可更正這些問題。

更新版 activemq 程序包修复了多个安全问题，现在可用于 Red Hat OpenShift Enterprise 1.2.7。Red Hat 安全响应团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Apache ActiveMQ 提供 SOA 基础架构以连接跨异构化系统的程序。在 Apache Camel 的 FILE_NAME 标头解析中发现一个缺陷。能够将消息提交到 Camel 路由并将提供的消息写入文件的远程攻击者，可在 FILE_NAME 标头中提供将在服务器上进行评估的表达式语言 (EL) 表达式。这可导致在 Camel 服务器处理程序环境中执行任意远程代码。(CVE-2013-4330) 发现 Apache Camel XSLT 组件允许 XSL 样式表呼叫外部 Java 方法。能够将消息提交到 Camel 路由的远程攻击者可利用此缺陷，在 Camel 服务器处理程序环境中执行任意远程代码。(CVE-2014-0003) 发现在使用 JAXB 取消封送处理器时，Spring OXM 包装器并未暴露停用实体解析的任何内容。远程攻击者可利用此缺陷，在网站上发动 XML 外部实体 (XXE) 攻击，并在运行应用程序服务器的用户环境中读取文件。此缺陷的修补程序默认会停用外部实体处理，并提供配置指令来重新启用它。(CVE-2013-4152) 当本机库捆绑在 JAR 文件中，且没有指定自定义库路径时，HawtJNI 库类别将本机库写入 /tmp/ 中可预测的文件名。在 HawtJNI 编写这些本地库与它们执行的时窗期间，本地攻击者可使用恶意版本覆盖这些本地库。(CVE-2013-2035) CVE-2013-2035 问题的发现者是 Red Hat 产品安全团队的 Florian Weimer，CVE-2014-0003 问题的发现者是 Red Hat 安全响应团队的 David Jorm。建议所有 Red Hat OpenShift Enterprise 1.2.7 用户升级到此更新版程序包，以便修正这些问题。

更新版 activemq 程序包修复了多个安全问题，现在可用于 Red Hat OpenShift Enterprise 2.0。Red Hat 安全响应团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Apache ActiveMQ 提供 SOA 基础架构以连接跨异构化系统的程序。在 Apache Camel 的 FILE_NAME 标头解析中发现一个缺陷。能够将消息提交到 Camel 路由并将提供的消息写入文件的远程攻击者，可在 FILE_NAME 标头中提供将在服务器上进行评估的表达式语言 (EL) 表达式。这可导致在 Camel 服务器处理程序环境中执行任意远程代码。(CVE-2013-4330) 发现 Apache Camel XSLT 组件允许 XSL 样式表呼叫外部 Java 方法。能够将消息提交到 Camel 路由的远程攻击者可利用此缺陷，在 Camel 服务器处理程序环境中执行任意远程代码。(CVE-2014-0003) 发现在使用 JAXB 取消封送处理器时，Spring OXM 包装器并未暴露停用实体解析的任何内容。远程攻击者可利用此缺陷，在网站上发动 XML 外部实体 (XXE) 攻击，并在运行应用程序服务器的用户环境中读取文件。此缺陷的修补程序默认会停用外部实体处理，并提供配置指令来重新启用它。(CVE-2013-4152) 当本机库捆绑在 JAR 文件中，且没有指定自定义库路径时，HawtJNI 库类别将本机库写入 /tmp/ 中可预测的文件名。在 HawtJNI 编写这些本地库与它们执行的时窗期间，本地攻击者可使用恶意版本覆盖这些本地库。(CVE-2013-2035) CVE-2013-2035 问题的发现者是 Red Hat 产品安全团队的 Florian Weimer，CVE-2014-0003 问题的发现者是 Red Hat 安全响应团队的 David Jorm。建议所有 Red Hat OpenShift Enterprise 2.0 用户升级到此更新版程序包，以便修正这些问题。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
119347	RHEL 6 : activemq (RHSA-2014:0254)	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	high
119346	RHEL 6 : activemq (RHSA-2014:0245)	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	high
119346	RHEL 6：activemq（RHSA-2014:0245）	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	high
119347	RHEL 6：activemq（RHSA-2014:0254）	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	high
119346	RHEL 6：activemq (RHSA-2014:0245)	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	high
119347	RHEL 6：activemq (RHSA-2014:0254)	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	high
119347	RHEL 6 : activemq (RHSA-2014:0254)	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	high
119346	RHEL 6 : activemq (RHSA-2014:0245)	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	high

检测

插件搜索

high

high

high

high

high

high

high

high