漏洞信息详情
Apache Tomcat '@ServletSecurity'注释安全限制绕过漏洞
- CNNVD编号:CNNVD-201103-200
- 危害等级: 中危
- CVE编号: CVE-2011-1419
- 漏洞类型: 设计错误
- 发布时间: 2011-03-15
- 威胁类型: 远程
- 更新时间: 2011-03-16
- 厂 商: apache
- 漏洞来源:
漏洞简介
Apache Apache Tomcat是美国阿帕奇(Apache)软件基金会下属的Jakarta项目的一款轻量级Web应用服务器,它主要用于开发和调试jsP程序,适用于中小型系统。
当web.xml不存在安全限制时,Apache Tomcat 7.0.11之前的7.x版本没有遵循ServletSecurity注释。远程攻击者可以借助对web应用程序的HTTP请求,绕过预设的访问限制。
漏洞公告
目前厂商已经发布了升级补丁以修复此安全问题,补丁获取链接:
http://tomcat.apache.org/security-7.HTML
参考网址
来源: XF
名称: tomcat-servletsecurity-sec-bypass(65971)
链接:http://xforce.iss.net/xforce/xfdb/65971
来源: VUPEN
名称: ADV-2011-0563
链接:http://www.vupen.com/english/advisories/2011/0563
来源: BID
名称: 46685
链接:http://www.securityfocus.com/bid/46685
来源: OSVDB
名称: 71027
链接:http://www.osvdb.org/71027
来源: tomcat.apache.org
链接:http://tomcat.apache.org/security-7.HTML
来源: svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1079752
来源: SECUNIA
名称: 43684
链接:http://secunia.com/advisories/43684
来源: MLIST
名称: [users] 20110302 Re: @DenyAll does nothing
链接:http://markmail.org/message/yzmyn44f5aetmm2r
来源: MLIST
名称: [users] 20110302 Re: @DenyAll does nothing
链接:http://markmail.org/message/lzx5273wsgl5pob6
来源: MLIST
名称: [users] 20110309 [SECURITY] Tomcat 7 ignores @ServletSecurity annotations
链接:http://marc.info/?l=tomcat-user&m=129966773405409&w=2
来源: MLIST
名称: [announce] 20110302 [SECURITY] Tomcat 7 ignores @ServletSecurity annotations
链接:http://mail-archives.apache.org/mod_mbox/www-announce/201103.mbox/%[email protected]%3E
受影响实体
- Apache Tomcat:7.0.10
- Apache Tomcat:7.0.9
- Apache Tomcat:7.0.8
- Apache Tomcat:7.0.7
- Apache Tomcat:7.0.3
补丁
暂无
![weinxin](http://zone.ci/zone_ci_images/zone.ci.png)
评论