リモートシステムにある JBoss Enterprise Portal Platform のバージョンは、以下の問題の影響を受けます：

- JBoss Web での CSRF 防止フィルターに欠陥があるため、リモートの攻撃者が、セッション識別子が欠落しているリクエストを介して、クロスサイトリクエスト偽造（CSRF）の保護メカニズムをバイパスする可能性があります。（CVE-2012-4431）

- COOKIE セッション追跡メソッドを使用する場合に発生する欠陥があるため、攻撃者が、ユーザーのセッションをハイジャックする可能性があります。（CVE-2012-4529）

- 複数のアプリケーションが同じカスタム承認モジュールのクラス名を使用する場合に発生する欠陥があるため、ローカルの攻撃者が、悪意あるアプリケーションを展開して、別のアプリケーションにより提供されるカスタム承認モジュールをオーバーライドする可能性があります。（CVE-2012-4572）

- フレームワークは、指定された暗号アルゴリズムが WS-SecurityPolicy AlgorithmSuite 定義により許可されていることを、復号化する前に検証していません。これにより、リモートの攻撃者が、意図したよりも脆弱な暗号アルゴリズムをシステムに使用させることで、通信をより簡単に復号化できるようになります。
 （CVE-2012-5575）

- PicketBox での欠陥により、ローカルユーザーが、Vault データファイルを読み込むことで、管理者の暗号化キーを取得する可能性があります。
 （CVE-2013-1921）

- FormAuthenticator モジュールに、セッション固定攻撃の欠陥が見つかりました。（CVE-2013-2067）

- JGroups チャネルが起動されるときに発生する欠陥があるため、デフォルトで有効な JGroups 診断サービスは、IP マルチキャストを介して、認証を行わないようになります。リモートの攻撃者が、この欠陥を利用して、診断情報を読み取る可能性があります。（CVE-2013-2102）

- StAX パーサーの実装に欠陥があるため、リモートの攻撃者が、細工された XML を介して、サービス拒否を引き起こす可能性があります。（CVE-2013-2160）

- Apache Santuario XML Security の欠陥により、コンテキスト依存の攻撃者が、CanonicalizationMethod パラメーターを使用して任意の弱いアルゴリズムを指定することで、XML 署名を偽装する可能性があります。（CVE-2013-2172）

- JGroup の DiagnosticsHandler での欠陥により、リモートの攻撃者が、有効な認証情報を再利用することで、機密情報を取得し、任意のコードを実行する可能性があります。
 （CVE-2013-4112）

- 認証された接続がリモートの名前ごとにサーバーでキャッシュされる方法に欠陥があるため、リモートの攻撃者が、リモートのクライアントを使用することで、セッションをハイジャックする可能性があります。（CVE-2013-4128）

- EJB 起動用の接続がサーバーでキャッシュされる方法に欠陥があるため、リモートの攻撃者が、EJB クライアントを使用することで、セッションをハイジャックする可能性があります。
 （CVE-2013-4213）

検出

JBoss Portal 6.1.0 更新（RHSA-2013:1437）

high Nessus プラグイン ID 72237

変更ログが見つかりません