Red Hat セキュリティアドバイザリ 2014:1011 から：

1 つのセキュリティ問題を修正する更新済み resteasy-base パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

RESTEasy には、RESTful Web サービスおよび RESTful Java アプリケーションの構築を支援するためのフレームワークを提供する JBoss プロジェクトが含まれています。これは完全に認定され、XAX-RS 仕様のポータルブル実装となっています。

CVE-2012-0818 の修正が不完全であることが判明しました。 resteasy.document.expand.entity.references パラメーターが false に設定されると、外部パラメーターのエンティティが無効化されていました。
RESTEasy エンドポイントに XML リクエストを送信できるリモートの攻撃者は、この欠陥を利用して、アプリケーションサーバーを実行しているユーザーがアクセスできるファイルを読み取ることができ、より高度な別の XXE 攻撃をさらに仕掛ける可能性があります。（CVE-2014-3490）

この問題は、Red Hat 製品セキュリティの David Jorm 氏により発見されました。

resteasy-base の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

検出

Oracle Linux 7：resteasy-base（ELSA-2014-1011）

high Nessus プラグイン ID 77011

変更ログが見つかりません