漏洞信息详情
BEA WebLogic Server/WebLogic Express Java RMI不正确会话继承漏洞
- CNNVD编号:CNNVD-200412-1086
- 危害等级: 低危
- CVE编号: CVE-2004-2696
- 漏洞类型: 信任管理
- 发布时间: 2004-06-14
- 威胁类型: 远程
- 更新时间: 2007-10-09
- 厂 商: bea
- 漏洞来源: BEA Systems
漏洞简介
BEA Systems WebLogic包含多种应用系统集成方案,包括Server/Express/Integration等。 BEA WebLogic的对Java Remote Method Invocation (RMI)文档描述存在问题,遵从此文档开发的产品可导致权限提升问题。 问题发生在当客户多次以不同用户登录WebLogic服务器时,文档描述客户的行为是:当RMI请求提交时是没有当前用户关联客户线程的,这对RMI通过T3协议来说是正确的,但针对RMI通过IIOP协议走的情况下是不正确的,任意依赖此文档描述的行为可导致在RMI调用中获得其他用户的验证信息。
漏洞公告
厂商补丁: BEA Systems ----------- 目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
更新的文档可从如下地方获得:
For WebLogic Server and WebLogic Express 8.1:
http://e-docs.bea.com/wls/docs81/jndi/jndi.HTML#478033
For WebLogic Server and WebLogic Express 7.0:
http://e-docs.bea.com/wls/docs70/jndi/jndi.HTML#477188
For WebLogic Server and WebLogic Express 6.1:
http://e-docs.bea.com/wls/docs61/jndi/jndi.HTML#477126
参考网址
来源: XF 名称: weblogic-unexpected-user-identity(16421) 链接:http://xforce.iss.net/xforce/xfdb/16421 来源: BID 名称: 10545 链接:http://www.securityfocus.com/bid/10545 来源: OSVDB 名称: 7081 链接:http://www.osvdb.org/7081 来源: SECTRACK 名称: 1010493 链接:http://securitytracker.com/id?1010493 来源: SECUNIA 名称: 11865 链接:http://secunia.com/advisories/11865 来源: BEA 名称: BEA04-62.00 链接:http://dev2dev.bea.com/pub/advisory/59 来源:NSFOCUS 名称:6584 链接:http://www.nsfocus.net/vulndb/6584
受影响实体
- Bea Weblogic_server:7.0:Sp5:Express
- Bea Weblogic_server:7.0:Sp5
- Bea Weblogic_server:7.0:Sp4:Win32
- Bea Weblogic_server:7.0:Sp4:Express
- Bea Weblogic_server:7.0:Sp4
补丁
暂无
![weinxin](http://zone.ci/zone_ci_images/zone.ci.png)
评论