 |
|
S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information
|
 |
|
Paris, le 23 janvier 2007
No CERTA-2007-AVI-044 |
Affaire suivie par :
CERTA
AVIS DU CERTA
Objet : Multiples
vulnérabilités de BEA WebLogic
Tableau 1: Gestion du document
| Référence |
CERTA-2007-AVI-044 |
| Titre |
Multiples
vulnérabilités de BEA WebLogic |
| Date de la première
version |
23 janvier 2007 |
| Date de la dernière
version |
- |
| Source(s) |
Avis de sécurité
BEA du 16 janvier 2007 |
| Pièce(s) jointe(s) |
Aucune |
|
Une gestion de version détaillée se trouve
à la fin de ce document.
- Déni de service à distance ;
- contournement de la politique de sécurité
;
- atteinte à l'intégrité des
données ;
- atteinte à la confidentialité des
données.
- BEA WebLogic Server et WebLogic Express version 8.1,
ayant une mise à jour antérieure au Service
Pack 5 ;
- BEA WebLogic Server et WebLogic Express version 7.0,
ayant une mise à jour antérieure au Service
Pack 7.
Plusieurs vulnérabilités ont été
identifiées dans les produits BEA WebLogic. Ils
permettraient à une personne malveillante de contourner
de diverses manières la politique de
sécurité.
Plusieurs vulnérabilités ont été
identifiées dans les produits BEA WebLogic. 23 sont
citées sur le site de l'éditeur. Parmi celles-ci
:
- le service de démarrage et d'arrêt du
serveur par les utilisateurs ayant un rôle
Admin et Operator ne serait pas suffisamment
contrôlé ;
- les sites pourraient, sous certaines conditions, diffuser
de l'information contextuelle concernant le réseau
interne, tels la configuration du NAT, les adresses IPs des
machines ou du serveur DNS ;
- la confidentialité SSL pourrait être
contournée par un utilisateur distant, afin de
récupérer des données en clair ;
- les certificats clients ne seraient pas correctement
validés, lorsque les connexions sont mises en cache
par le serveur ;
- le module de WebLogic Server pour Apache ne manipulerait
pas correctement certaines erreurs, pouvant provoquer
l'interruption du service Apache ;
- les requêtes HTTP ne seraient pas
vérifiées de manière correcte ; une
personne malveillante pourrait donc envoyer des paquets
spécialement construits, afin de
récupérer des données de requêtes
HTTP précédentes ;
- etc.
Se référer aux bulletins de
sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).
- 23 janvier 2007
- version initiale.
CERTA
2012-01-04
|
|
)
