Support for WildFly 28

[joancafom]

Hi!

The latest supported release of WildFly as per the documentation is 26.x. Nevertheless, WildFly has yet released two new more versions, being the current one WildFly 28.

Leaving new features aside, using a security scanner (like Trivy), we can see that the current version reports much fewer vulnerabilities:

WildFly 28

$ trivy image --vuln-type library quay.io/wildfly/wildfly:28.0.0.Final-jdk17
Java (jar)

Total: 5 (UNKNOWN: 0, LOW: 0, MEDIUM: 4, HIGH: 1, CRITICAL: 0)

┌────────────────────────────────────────────────┬─────────────────────┬──────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│                    Library                     │    Vulnerability    │ Severity │ Installed Version │ Fixed Version │                            Title                             │
├────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ com.h2database:h2 (h2-2.1.214.jar)             │ CVE-2022-45868      │ HIGH     │ 2.1.214           │               │ The web-based admin console in H2 Database Engine through    │
│                                                │                     │          │                   │               │ 2.1.214 can ...                                              │
│                                                │                     │          │                   │               │ https://avd.aquasec.com/nvd/cve-2022-45868                   │
├────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.activemq:artemis-server             │ CVE-2020-13947      │ MEDIUM   │ 2.26.0            │               │ An instance of a cross-site scripting vulnerability was      │
│ (artemis-server-2.26.0.jar)                    │                     │          │                   │               │ identified to ......                                         │
│                                                │                     │          │                   │               │ https://avd.aquasec.com/nvd/cve-2020-13947                   │
├────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.wss4j:wss4j-ws-security-dom         │ CVE-2014-3623       │          │ 3.0.0             │ 2.0.2, 3.0.2  │ Apache WSS4J / Apache CXF: Improper security semantics       │
│ (wss4j-ws-security-dom-3.0.0.jar)              │                     │          │                   │               │ enforcement of SAML SubjectConfirmation...                   │
│                                                │                     │          │                   │               │ https://avd.aquasec.com/nvd/cve-2014-3623                    │
├────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ org.bitbucket.b_c:jose4j (jose4j-0.8.0.jar)    │ GHSA-jgvc-jfgh-rjvv │          │ 0.8.0             │ 0.9.3         │ Chosen Ciphertext Attack in Jose4j                           │
│                                                │                     │          │                   │               │ https://github.com/advisories/GHSA-jgvc-jfgh-rjvv            │
├────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ xerces:xercesImpl (xercesImpl-2.12.0.SP05.jar) │ CVE-2022-23437      │          │ 2.12.0.SP05       │ 2.12.2        │ xerces-j2: infinite loop when handling specially crafted XML │
│                                                │                     │          │                   │               │ document payloads                                            │
│                                                │                     │          │                   │               │ https://avd.aquasec.com/nvd/cve-2022-23437                   │
└────────────────────────────────────────────────┴─────────────────────┴──────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘

WildFly 26

$ trivy image --vuln-type library quay.io/wildfly/wildfly:26.1.3.Final-jdk17
Java (jar)

Total: 33 (UNKNOWN: 1, LOW: 0, MEDIUM: 13, HIGH: 12, CRITICAL: 7)

┌──────────────────────────────────────────────────────────────┬─────────────────────┬──────────┬───────────────────┬────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│                           Library                            │    Vulnerability    │ Severity │ Installed Version │         Fixed Version          │                            Title                             │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.fasterxml.jackson.core:jackson-databind                  │ CVE-2022-42003      │ HIGH     │ 2.13.3            │ 2.12.7.1, 2.13.4.1             │ deep wrapper array nesting wrt UNWRAP_SINGLE_VALUE_ARRAYS    │
│ (jboss-client.jar)                                           │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-42003                   │
│                                                              ├─────────────────────┤          │                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-42004      │          │                   │ 2.12.7.1, 2.13.4               │ use of deeply nested arrays                                  │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-42004                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.fasterxml.woodstox:woodstox-core                         │ CVE-2022-40151      │          │ 6.2.8             │ 5.4.0, 6.4.0                   │ Xstream to serialise XML data was vulnerable to Denial of    │
│ (woodstox-core-6.2.8.jar)                                    │                     │          │                   │                                │ Service attacks...                                           │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-40151                   │
│                                                              ├─────────────────────┤          │                   │                                ├──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-40152      │          │                   │                                │ woodstox to serialise XML data was vulnerable to Denial of   │
│                                                              │                     │          │                   │                                │ Service attacks...                                           │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-40152                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.google.protobuf:protobuf-java (protobuf-java-3.19.2.jar) │ CVE-2022-3171       │          │ 3.19.2            │ 3.16.3, 3.19.6, 3.20.3, 3.21.7 │ timeout in parser leads to DoS                               │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-3171                    │
│                                                              ├─────────────────────┤          │                   │                                ├──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-3509       │          │                   │                                │ Textformat parsing issue leads to DoS                        │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-3509                    │
│                                                              ├─────────────────────┤          │                   │                                ├──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-3510       │          │                   │                                │ Message-Type Extensions parsing issue leads to DoS           │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-3510                    │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.h2database:h2 (h2-1.4.197.jar)                           │ CVE-2021-23463      │ CRITICAL │ 1.4.197           │ 2.0.202                        │ h2database: XXE injection vulnerability                      │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2021-23463                   │
│                                                              ├─────────────────────┤          │                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2021-42392      │          │                   │ 2.0.206                        │ h2: Remote Code Execution in Console                         │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2021-42392                   │
│                                                              ├─────────────────────┤          │                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-23221      │          │                   │ 2.1.210                        │ h2: Loading of custom classes from remote servers through    │
│                                                              │                     │          │                   │                                │ JNDI                                                         │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-23221                   │
│                                                              ├─────────────────────┼──────────┤                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-45868      │ HIGH     │                   │                                │ The web-based admin console in H2 Database Engine through    │
│                                                              │                     │          │                   │                                │ 2.1.214 can ...                                              │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-45868                   │
│                                                              ├─────────────────────┼──────────┤                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ GHSA-h376-j262-vhq6 │ UNKNOWN  │                   │ 2.0.206                        │ Improper Neutralization of Special Elements used in an OS    │
│                                                              │                     │          │                   │                                │ Command ('OS Command...                                      │
│                                                              │                     │          │                   │                                │ https://github.com/advisories/GHSA-h376-j262-vhq6            │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ io.undertow:undertow-core (jboss-client.jar)                 │ CVE-2022-1259       │ HIGH     │ 2.2.19.Final      │                                │ undertow: potential security issue in flow control over      │
│                                                              │                     │          │                   │                                │ HTTP/2 may lead to...                                        │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-1259                    │
├──────────────────────────────────────────────────────────────┤                     │          │                   ├────────────────────────────────┤                                                              │
│ io.undertow:undertow-core (undertow-core-2.2.19.Final.jar)   │                     │          │                   │                                │                                                              │
│                                                              │                     │          │                   │                                │                                                              │
│                                                              │                     │          │                   │                                │                                                              │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┤                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ io.undertow:undertow-core (jboss-client.jar)                 │ CVE-2022-2764       │ MEDIUM   │                   │                                │ Undertow: DoS can be achieved as Undertow server waits for   │
│                                                              │                     │          │                   │                                │ the LAST_CHUNK...                                            │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-2764                    │
├──────────────────────────────────────────────────────────────┤                     │          │                   ├────────────────────────────────┤                                                              │
│ io.undertow:undertow-core (undertow-core-2.2.19.Final.jar)   │                     │          │                   │                                │                                                              │
│                                                              │                     │          │                   │                                │                                                              │
│                                                              │                     │          │                   │                                │                                                              │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.activemq:artemis-server                           │ CVE-2020-13947      │          │ 2.19.1            │                                │ An instance of a cross-site scripting vulnerability was      │
│ (artemis-server-2.19.1.jar)                                  │                     │          │                   │                                │ identified to ......                                         │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2020-13947                   │
│                                                              ├─────────────────────┤          │                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-35278      │          │                   │ 2.24.0                         │ activemq-artemis: AMQ Broker web console HTML Injection      │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-35278                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.sshd:sshd-common (jboss-cli-client.jar)           │ CVE-2022-45047      │ CRITICAL │ 2.7.0             │ 2.9.2                          │ Java unsafe deserialization vulnerability                    │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-45047                   │
├──────────────────────────────────────────────────────────────┤                     │          │                   │                                │                                                              │
│ org.apache.sshd:sshd-common (jboss-client.jar)               │                     │          │                   │                                │                                                              │
│                                                              │                     │          │                   │                                │                                                              │
├──────────────────────────────────────────────────────────────┤                     │          │                   │                                │                                                              │
│ org.apache.sshd:sshd-common (sshd-common-2.7.0.jar)          │                     │          │                   │                                │                                                              │
│                                                              │                     │          │                   │                                │                                                              │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.bitbucket.b_c:jose4j (jboss-client.jar)                  │ GHSA-jgvc-jfgh-rjvv │ MEDIUM   │ 0.7.11            │ 0.9.3                          │ Chosen Ciphertext Attack in Jose4j                           │
│                                                              │                     │          │                   │                                │ https://github.com/advisories/GHSA-jgvc-jfgh-rjvv            │
├──────────────────────────────────────────────────────────────┤                     │          │                   │                                │                                                              │
│ org.bitbucket.b_c:jose4j (jose4j-0.7.11.jar)                 │                     │          │                   │                                │                                                              │
│                                                              │                     │          │                   │                                │                                                              │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.jsoup:jsoup (jsoup-1.14.2.jar)                           │ CVE-2022-36033      │          │ 1.14.2            │ 1.15.3                         │ The jsoup cleaner may incorrectly sanitize crafted XSS       │
│                                                              │                     │          │                   │                                │ attempts if SafeList.preserveRelativeLinks is...             │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-36033                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.wildfly.security:wildfly-elytron (jboss-client.jar)      │ CVE-2022-3143       │ HIGH     │ 1.19.1.Final      │ 1.15.15.Final, 1.20.3.Final    │ wildfly-elytron: possible timing attacks via use of unsafe   │
│                                                              │                     │          │                   │                                │ comparator                                                   │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-3143                    │
├──────────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.yaml:snakeyaml (snakeyaml-1.29.jar)                      │ CVE-2022-1471       │ CRITICAL │ 1.29              │ 2.0                            │ Constructor Deserialization Remote Code Execution            │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-1471                    │
│                                                              ├─────────────────────┼──────────┤                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-25857      │ HIGH     │                   │ 1.31                           │ Denial of Service due to missing nested depth limitation for │
│                                                              │                     │          │                   │                                │ collections                                                  │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-25857                   │
│                                                              ├─────────────────────┼──────────┤                   │                                ├──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-38749      │ MEDIUM   │                   │                                │ Uncaught exception in                                        │
│                                                              │                     │          │                   │                                │ org.yaml.snakeyaml.composer.Composer.composeSequenceNode     │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-38749                   │
│                                                              ├─────────────────────┤          │                   │                                ├──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-38750      │          │                   │                                │ Uncaught exception in                                        │
│                                                              │                     │          │                   │                                │ org.yaml.snakeyaml.constructor.BaseConstructor.constructObj- │
│                                                              │                     │          │                   │                                │ ect                                                          │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-38750                   │
│                                                              ├─────────────────────┤          │                   │                                ├──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-38751      │          │                   │                                │ Uncaught exception in                                        │
│                                                              │                     │          │                   │                                │ java.base/java.util.regex.Pattern$Ques.match                 │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-38751                   │
│                                                              ├─────────────────────┤          │                   ├────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-38752      │          │                   │ 1.32                           │ Uncaught exception in java.base/java.util.ArrayList.hashCode │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-38752                   │
│                                                              ├─────────────────────┤          │                   │                                ├──────────────────────────────────────────────────────────────┤
│                                                              │ CVE-2022-41854      │          │                   │                                │ DoS via stack overflow                                       │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-41854                   │
├──────────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ xerces:xercesImpl (xercesImpl-2.12.0.SP03.jar)               │ CVE-2022-23437      │          │ 2.12.0.SP03       │ 2.12.2                         │ xerces-j2: infinite loop when handling specially crafted XML │
│                                                              │                     │          │                   │                                │ document payloads                                            │
│                                                              │                     │          │                   │                                │ https://avd.aquasec.com/nvd/cve-2022-23437                   │
└──────────────────────────────────────────────────────────────┴─────────────────────┴──────────┴───────────────────┴────────────────────────────────┴──────────────────────────────────────────────────────────────┘

Is supporting this new version in your roadmap so that users can benefit of up-to-date components? Thanks!

[primetomas]

Yes it is on the roadmap. Not until later however. WildFly 28 updates Jakarta EE to 10 This is a completely breaking change meaning that there will be a version of EJBCA that only runs on WF 28 and later, while the current version of EJBCA can only run on WF <=26. This is because Jakarta EE 10 completely removes any backwards compatibility, and an application can not be compatible with both.

I hope this makes it understandable why this change can not be done just like that. It's actually the first time that Java EE completely breaks backwards compatibility (surprising to me).

The CVE will have to be investigated/patched by you. To my knowledge none if them are remote-affecting, or EJBCA-affecting. You can use Galleon as described in the EJBCA install docs to remove unused modules.
If you need a supported application server, JBoss EAP gets patches for vulnerabilities from RedHat and is available with multi-year support.

Cheers,
Tomas

[joancafom]

Thanks so much for your reply!