安全研究

安全漏洞
BEA WebLogic多个远程或本地安全漏洞

发布日期:2006-01-23
更新日期:2006-01-23

受影响系统:
BEA Systems WebLogic Enterprise 9.0
BEA Systems WebLogic Express <= 6.1 SP8
BEA Systems Weblogic Server <= 8.1 SP5
BEA Systems WebLogic Portal <= 8.1 SP4
描述:
BUGTRAQ  ID: 16358
CVE(CAN) ID: CVE-2006-0421

BEA Systems WebLogic包含多种应用系统集成方案,包括Server/Express/Integration等。

WebLogic中存在多个漏洞,具体如下:

1 任何域的系统管理员都可以访问WebLogic管理控制台所管理的多个域。

2 远程Java客户端可以利用MBean漏洞访问受保护的MBean属性或对服务器发动拒绝服务攻击。

3 WebLogic Portal RDBMS认证提供者的数据库口令以明文存储在服务器系统文件的config.xml文件中。如果攻击者能够访问这个文件的话,就可以获得数据库口令。

4 远程认证用户可以查看服务器日志。此外,从WebLogic Server 6.x升级的域可能存在活动的guest帐号,允许认证的guest用户查看服务器日志。

5 攻击者可以使用部署描述符信息对应用程序展开攻击。

6 如果启用了配置审计的话,更改口令就会触发包含有新旧明文口令的配置审计事件。WebLogic审计提供者将配置审计事件以明文写入服务器系统的DefaultAuditRecorder.log文件中,其他审计提供者也可以将文件以明文写入到审计存储中。

7 编码应用程序代码(如EJB或servlet)中的漏洞可能允许在服务器上解密加密的口令。

8 某些特制的URL可能允许用户访问非预期的Web资源,即使这些资源位于防火墙后。

9 配置完新的安全提供者后,在重启服务器前管理员可能认为供应者是活动的,因为没有迹象表明服务器仍在使用最后一次重启后的安全提供者。这可能导致管理员对新的提供者删除或添加用户、安全策略,而实际上在重启服务器前并没有生效。

10 在某些配置和某些条件下,连接过滤可能导致服务器性能降低。

11 没有正确地保护服务器的SSL身份。

12 如果管理员使用控制台设置JNDI资源的安全策略的话,则所生成的策略不能正确的保护JNDI资源。

<*来源:BEA Systems (secalert@bea.com
  
  链接:http://dev2dev.bea.com/pub/advisory/176
        http://dev2dev.bea.com/pub/advisory/175
        http://dev2dev.bea.com/pub/advisory/174
        http://dev2dev.bea.com/pub/advisory/173
        http://dev2dev.bea.com/pub/advisory/172
        http://dev2dev.bea.com/pub/advisory/171
        http://dev2dev.bea.com/pub/advisory/170
        http://dev2dev.bea.com/pub/advisory/169
        http://dev2dev.bea.com/pub/advisory/168
        http://dev2dev.bea.com/pub/advisory/167
        http://dev2dev.bea.com/pub/advisory/166
        http://dev2dev.bea.com/pub/advisory/165
*>

建议:
厂商补丁:

BEA Systems
-----------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

WebLogic Server:
http://commerce.bea.com/showallversions.jsp?family=WLS

WebLogic Platform:
http://commerce.bea.com/showallversions.jsp?family=WLP

浏览次数:3799
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障