Удаленный неавторизованный доступ в BEA WebLogic Server и Express сайтах

Дата публикации:
12.05.2004
Всего просмотров:
1009
Опасность:
Средняя
Наличие исправления:
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Уязвимые версии: BEA WebLogic 8.1 SP2 и более ранние версии, 7.0 SP5 и более ранние версии

Описание: Уязвимость обнаружена в BEA WebLogic Server и Express сайтах, которые используют WebLogic Builder чтобы редактировать 'weblogic.xml' файлы или используют SecurityRoleAssignmentMBean.toXML() метод. Удаленный пользователь может получить неавторизованный доступ к приложению.

Если weblogic.xml файл содержит тэг который не содержит ни одного тэга, то тэги может быть удалены из-за ошибки кодирования при редактировании, используя WebLogic Builder или обработки, используя метод SecurityRoleAssignmentMBean.toXML().Servlet container может затем установить значение по умолчанию для ролей безопасности (группа с тем же самым именем по умолчанию). В результате, удаленный пользователь может получить неавторизованный доступ к приложению.

URL производителя: http://dev2dev.bea.com/resourcelibrary/advisoriesnotifications/BEA04_59.00.jsp

Решение: Установите соответствующее обновление:

For WebLogic Server and WebLogic Express version 8.1, upgrade to WebLogic Server and WebLogic Express version 8.1 Service Pack 2:

ftp://ftpna.beasys.com/pub/releases/security/CR171885_810sp2.jar

WebLogic Server version 8.1 Service Pack 3 will reportedly include this fix.

For WebLogic Server and WebLogic Express version 7.0, upgrade to WebLogic Server and WebLogic Express version 7.0 Service Pack 5:

ftp://ftpna.beasys.com/pub/releases/security/CR171885_70sp5.jar


Ссылки: UPDATED OpenServer 5.0.5 OpenServer 5.0.6 OpenServer 5.0.7 : X sessions which are not started by scologin
или введите имя

CAPTCHA