 |
|
S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information
|
 |
|
Paris, le 21 février
2008
No CERTA-2008-AVI-099 |
Affaire suivie par :
CERTA
AVIS DU CERTA
Objet : Vulnérabilités de BEA
Weblogic
Tableau 1: Gestion du document
| Référence |
CERTA-2008-AVI-099 |
| Titre |
Vulnérabilités de
BEA Weblogic |
| Date de la première
version |
21 février 2008 |
| Date de la dernière
version |
- |
| Source(s) |
Bulletins de
sécurité BEA 256 à 275 |
| Pièce(s) jointe(s) |
Aucune |
|
Une gestion de version détaillée se trouve
à la fin de ce document.
- Exécution de code arbitraire à distance
;
- atteinte à l'intégrité des
données ;
- atteinte à la confidentialité des
données.
- BEA Weblogic Express,
versions 6.x à 10.x ;
- BEA Weblogic Portal, versions
8.x à 10.x ;
- BEA Weblogic Server, versions
6.x à 10.x ;
- BEA Weblogic Workshop,
versions 8 ;
- BEA Workshop for Weblogic ,
versions 9.x et 10.x.
De nombreuses vulnérabilités affectent les
produits BEA Weblogic. Leur
exploitation permet à un utilisateur malveillant
d'exécuter du code arbitraire à distance ou de
porter atteinte à l'intégrité ou à
la confidentialité des données.
De nombreuses vulnérabilités affectent les
produits BEA Weblogic :
- une erreur de traitement des requêtes par HttpProxyServlet et HttpClusterServlet permet à un
utilisateur d'obtenir des droits d'administration sur le
serveur, dans certaines conditions ;
- des erreurs non précisées permettent de
réaliser de l'injection de code indirecte (cross site scripting) sur le poste de
l'utilisateur ;
- une erreur dans la console d'administration permet de
réaliser de l'injection de code indirecte (cross site scripting) sur le poste d'un
administrateur ;
- des erreurs non précisées permettent de
contourner la politique de sécurité, en
particulier d'accéder à des servlettes non
autorisées ;
- un problème de gestion des sessions permet de
détourner la session d'un utilisateur ;
- une erreur dans la gestion des sessions HTTPS peut
conduire à une redirection en HTTP ;
- un défaut de verrouillage des comptes permet
à un utilisateur malveillant de procéder
à une recherche exhaustive de mots de passe ;
- la protection des mots de passe de bases de
données est insuffisante. L'exploitation de cette
faiblesse n'est possible que si RDBMS
Authentification est utilisé.
Se référer aux bulletins de
sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).
- 21 février 2008
- version initiale.
CERTA
2012-01-04
|
|
)
