漏洞信息详情
Apache Tomcat '@ServletSecurity'注释安全限制绕过漏洞
- CNNVD编号:CNNVD-201103-198
- 危害等级: 中危
- CVE编号: CVE-2011-1088
- 漏洞类型: 设计错误
- 发布时间: 2011-03-15
- 威胁类型: 远程
- 更新时间: 2011-03-16
- 厂 商: apache
- 漏洞来源:
漏洞简介
Apache Apache Tomcat是美国阿帕奇(Apache)软件基金会下属的Jakarta项目的一款轻量级Web应用服务器,它主要用于开发和调试jsP程序,适用于中小型系统。
Apache Tomcat 7.0.10之前的7.x版本中存在安全限制绕过漏洞。由于应用程序在加载小服务程序时未能正确执行\"@ServletSecurity\"注释,远程攻击者可以借助对web应用程序的HTTP请求,绕过预设的访问限制。
漏洞公告
目前厂商已经发布了升级补丁以修复此安全问题,补丁获取链接:
http://tomcat.apache.org/security-7.HTML
参考网址
来源: XF
名称: tomcat-servletsecurity-sec-bypass(65971)
链接:http://xforce.iss.net/xforce/xfdb/65971
来源: VUPEN
名称: ADV-2011-0563
链接:http://www.vupen.com/english/advisories/2011/0563
来源: BID
名称: 46685
链接:http://www.securityfocus.com/bid/46685
来源: OSVDB
名称: 71027
链接:http://www.osvdb.org/71027
来源: tomcat.apache.org
链接:http://tomcat.apache.org/security-7.HTML
来源: svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1077995
来源: svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1076587
来源: svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1076586
来源: SECUNIA
名称: 43684
链接:http://secunia.com/advisories/43684
来源: MLIST
名称: [users] 20110302 Re: @DenyAll does nothing
链接:http://markmail.org/message/yzmyn44f5aetmm2r
来源: MLIST
名称: [users] 20110302 Re: @DenyAll does nothing
链接:http://markmail.org/message/lzx5273wsgl5pob6
来源: MLIST
名称: [announce] 20110302 [SECURITY] Tomcat 7 ignores @ServletSecurity annotations
链接:http://mail-archives.apache.org/mod_mbox/www-announce/201103.mbox/%[email protected]%3E
来源:NSFOCUS 名称:16581 链接:http://www.nsfocus.net/vulndb/16581
受影响实体
- Apache Tomcat:7.0.9
- Apache Tomcat:7.0.8
- Apache Tomcat:7.0.5
- Apache Tomcat:7.0.6
- Apache Tomcat:7.0.1
补丁
暂无
![weinxin](http://zone.ci/zone_ci_images/zone.ci.png)
评论