发布日期：2010-01-06
更新日期：2010-01-27

受影响系统：

Sun Java System Web Proxy Server 4.0
Sun Java System Web Server 7.0
Sun Java System Web Server 6.1

描述：

---

BUGTRAQ  ID: 37648,37995
CVE(CAN) ID: CVE-2010-0360,CVE-2010-0386

Sun Java System Web Server是高性能的WEB服务器。

Java System Web服务器的HTTP TRACE功能中的堆溢出漏洞，可能允许远程非特权用户导致Web服务器或Web代理服务器崩溃，造成拒绝服务的情况。这些漏洞还可能导致非授权访问敏感信息。

<*来源：Evgeny Legerov （aland@freeradius.org）
  
  链接：http://secunia.com/advisories/38260/
        http://sunsolve.sun.com/search/document.do?assetkey=1-66-275850-1
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://intevydis.blogspot.com/2010/01/sun-java-system-web-server-70u7-trace.html

建议：

---

临时解决方法：

* 通过“#”标注obj.conf文件中的相关项来禁用HTTP TRACE支持：

    # Service method="TRACE" fn="service-trace"

编辑文件后重启Web服务器/Web代理服务器。

厂商补丁：

Sun
---
Sun已经为此发布了一个安全公告（Sun-Alert-6916389）以及相应补丁:
Sun-Alert-6916389：Multiple security vulnerabilities in the HTTP TRACE, WebDAV and Digest Authentication Methods in the Sun Java System Web Server and Sun Java System Web Proxy Server
链接：http://sunsolve.sun.com/search/document.do?assetkey=1-66-275850-1

浏览次数：2997
严重程度：0（网友投票）