阅读更多

65顶
6踩

企业架构
CVE-2011-2204 Apache Tomcat信息泄漏

安全级别: 低

影响的版本:
  • Tomcat 7.0.0 to 7.0.16
  • Tomcat 6.0.0 to 6.0.32
  • Tomcat 5.5.0 to 5.5.33
更早的版本也有可能受影响。

漏洞描述:
当使用 MemoryUserDatabase (基于 tomcat-users.xml) 并通过 JMX 创建用户时,如果异常发生,那么在 JMX 的客户端上的错误提示将会包含用户的密码,这个错误信息同时也会写到 Tomcat 的日志文件中。

重现此漏洞的步骤:
Tomcat 安全团队很难重现这个问题,以至于他们不得不修改 Tomcat 源码,让它直接抛出一个异常出来。另外理论上,一个 OutOfMemoryError 会直接导致这个漏洞的发生。

解决的办法:
  • 不通过 JMX 来管理 MemoryUserDatabase
  • 使用摘要密码
  • 限制 Tomcat 日志文件的访问
  • 升级到 Tomcat 7.0.17, 6.0.33 or 5.5.34 或更新版本
  • 打补丁:
    - 7.0.x 补丁下载: http://svn.apache.org/viewvc?rev=1140070&view=rev
    - 6.0.x 补丁下载: http://svn.apache.org/viewvc?rev=1140071&view=rev
    - 5.5.x 补丁下载: http://svn.apache.org/viewvc?rev=1140072&view=rev

via http://seclists.org/fulldisclosure/2011/Jun/514

65
6
评论 共 20 条 请登录后发表评论
20 楼 jingyuzhu3 2011-06-30 15:57
19 楼 javaDevil 2011-06-30 00:29
管理模块一般都木有
18 楼 gdcooler 2011-06-29 20:44
上生产之后,管理模块都删除啦。。木有鸭梨。
17 楼 chxkyy 2011-06-29 14:46
基本没有用过这个文件tomcat-users.xml
16 楼 unika_ly12 2011-06-29 13:02
jackra 写道
表示完全没有鸭梨

+1
15 楼 jackra 2011-06-29 11:35
表示完全没有鸭梨
14 楼 sosu1314 2011-06-29 10:47
呵呵  升级吧
13 楼 comsci 2011-06-29 09:43
觉得,这个BUG对一般的用户影响不大
12 楼 boyleohong 2011-06-28 21:28
tomcat7还要升级,难道有tomcat8了?[/quot
升级无止境啊
11 楼 boyleohong 2011-06-28 21:27
pengliren 写道
沙发 呵呵

111111111111
10 楼 luoyahu 2011-06-28 17:48
直接把远程管理那部分删除不挺安全的吗?
9 楼 java_xiaoyi 2011-06-28 17:46
tomcat7还要升级,难道有tomcat8了?
8 楼 sinopf 2011-06-28 17:27
都没用过这个文件啊
7 楼 huruxing159 2011-06-28 16:27
不是按照他那种方式 搞 就不会了啊
6 楼 zhoujm 2011-06-28 16:01
tomcat-users.xml为什么要用这个呢?不用不就好了。
5 楼 ljpandmlx 2011-06-28 15:33
沙发
4 楼 csywashing 2011-06-28 15:06
又得下新版本
3 楼 Allen 2011-06-28 14:34
别用tomcat-users.xml不就好了。
2 楼 haiyupeter 2011-06-28 14:06
唉呀,悲剧呀,怎么可能升级嘛,旧应用是无法升级的,哪里知道升级上来会有哪些异常呀,哈哈。。。
1 楼 pengliren 2011-06-28 13:31
沙发 呵呵

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • VB6.0鼠标滚轮控件

    VB6.0开发环境 不支持鼠标滚轮。该控件可以使用鼠标滚轮来查看代码窗口。 是可以直接添加外接程序的方式,不是单独运行的插件。

  • VB6.0 MSHFlexGrid常用方法

    包含VB6中MSHFlexGrid的几个常用方法,如标题行的自动列宽、隔行显示不同背景色、支持鼠标滚动等

  • 鼠标滚轮支持、VB中数据表格类控件的滚轮支持方法

    鼠标滚轮支持、VB中数据表格类控件的滚轮支持方法。 '''MSHFLEXGRID,DATAGRID,FLEXGRID等。 '''以下代码放到模块中 Option Explicit Public Const GWL_WNDPROC = (-4) Public Const WM_COMMAND = &H111 Public Const WM_MBUTTONDOWN = &H207 Pub

  • VB6中如何使MSHFlexGrid选中行反色显示?

      VB6中的MSHFlexGrid控件功能较强,在设置了BackColorSel以及ForeColorSel属性,并且允许整行选择时,被选中行就会按照设置的颜色完成反色显示效果,但是,当设置了允许行列合并时,此效果就失去了作用。那么,是不是鱼和熊掌不能兼得呢?  不是的,今天在朋友小巧玲珑的帮助下,终于实现了“鱼和熊掌兼得”!现将实现之方法记录于此,同大家共享,并再次答谢小巧玲珑的热心帮助!  

  • 使MSHFlexGrid支持鼠标滚动

    将以下代码写到公共模块中支持滚轮鼠标API---------------------------------    Public Const GWL_WNDPROC = (-4)    Public Const WM_COMMAND = &H111    Public Const WM_MBUTTONDOWN = &H207    Public Const WM_MBUTTONUP = &H

  • MSHFlexGrid1使用技巧(二)[如何让MSHFlexGrid实现点击列标题排序]

    Dim mysort As IntegerPrivate Sub Form_Load()With MSHFlexGrid1.Cols = 4.Rows = 20   20行4列For i = 0 To 79.TextArray(i) = IIf(i NextEnd Withmysort = 7 升序End SubPrivate Sub MSHFlexGrid1_MouseDown(Button

  • 将ado.Recordset对象变量中查询结果显示到MSHFlexGrid控件中出现错误解决办法

    初学VB,使用ado访问SQL Server,在将ado.Recordset对象变量中查询结果显示到MSHFlexGrid控件时,VB提示出现错误:        原始代码如下: Option Explicit Private Sub Form_Load() Dim cn As ADODB.Connection Dim rs As ADODB.Re

  • 设置MSHFlexGrid的行标题和列标题

    使用MSHFlexGrid的FormatString属性可以做到一次设置行标题和列标题    Dim sTitle As String        sTitle = ""    sTitle = sTitle + ";|Robert|Jimmy|Bonzo|John Paul"    MSHFlexGrid.FormatString = sTitle 

Global site tag (gtag.js) - Google Analytics