BEA WebLogic多个远程或本地安全漏洞
| CNNVD-ID编号 | CNNVD-200601-338 | CVE编号 | CVE-2006-0432 |
| 发布时间 | 2006-01-25 | 更新时间 | 2006-01-26 |
| 漏洞类型 | 资料不足 | 漏洞来源 | BEA Systems [email protected] |
| 危险等级 | 低危 | 威胁类型 | 本地 |
| 厂商 | bea | ||
漏洞介绍
BEA Systems WebLogic包含多种应用系统集成方案，包括Server/Express/Integration等。
WebLogic中存在多个漏洞，具体如下：
1 任何域的系统管理员都可以访问WebLogic管理控制台所管理的多个域。
2 远程Java客户端可以利用MBean漏洞访问受保护的MBean属性或对服务器发动拒绝服务攻击。
3 WebLogic Portal RDBMS认证提供者的数据库口令以明文存储在服务器系统文件的config.xml文件中。如果攻击者能够访问这个文件的话，就可以获得数据库口令。
4 远程认证用户可以查看服务器日志。此外，从WebLogic Server 6.x升级的域可能存在活动的guest帐号，允许认证的guest用户查看服务器日志。
5 攻击者可以使用部署描述符信息对应用程序展开攻击。
6 如果启用了配置审计的话，更改口令就会触发包含有新旧明文口令的配置审计事件。WebLogic审计提供者将配置审计事件以明文写入服务器系统的DefaultAuditRecorder.log文件中，其他审计提供者也可以将文件以明文写入到审计存储中。
7 编码应用程序代码(如EJB或servlet)中的漏洞可能允许在服务器上解密加密的口令。
8 某些特制的URL可能允许用户访问非预期的Web资源，即使这些资源位于防火墙后。
9 配置完新的安全提供者后，在重启服务器前管理员可能认为供应者是活动的，因为没有迹象表明服务器仍在使用最后一次重启后的安全提供者。这可能导致管理员对新的提供者删除或添加用户、安全策略，而实际上在重启服务器前并没有生效。
10 在某些配置和某些条件下，连接过滤可能导致服务器性能降低。
11 没有正确地保护服务器的SSL身份。
12 如果管理员使用控制台设置JNDI资源的安全策略的话，则所生成的策略不能正确的保护JNDI资源。
漏洞补丁
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
WebLogic Server:
http://commerce.bea.com/showallversions.jsp?family=WLS
WebLogic Platform:
http://commerce.bea.com/showallversions.jsp?family=WLP
参考网址
来源: VUPEN
名称: ADV-2006-0313
链接：http://www.frsirt.com/english/advisories/2006/0313
来源: SECTRACK
名称: 1015528
链接：http://securitytracker.com/id?1015528
来源: SECUNIA
名称: 18592
链接：http://secunia.com/advisories/18592
来源: BEA
名称: BEA06-119.00
链接：http://dev2dev.bea.com/pub/advisory/176
来源: XF
名称: weblogic-jdni-security-weakness(24299)
链接：http://xforce.iss.net/xforce/xfdb/24299
受影响实体
Bea Weblogic_server:9.0 Bea Weblogic_server:9.0:Express信息来源
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200601-338
评论