JBOSS 4.2.0.GA 关于修复CVE-2010-3708漏洞的问题

2016-12-16 10:37:36 1.8k 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

从HTTP协议到认证绕过：深度剖析JBoss CVE-2010-0738漏洞利用链 HTTP协议定义了多种请求方法，其中HEAD方法用于获取资源元信息而不返回消息体。在Web应用安全中，认证与授权机制需要对所有HTTP方法进行一致性校验，否则可能产生逻辑漏洞。这种因协议处理不一致导致的安全问题，在中间件和框架的历史版本中尤为典型，其技术价值在于揭示了安全设计需覆盖协议全貌的重要性。CVE-2010-0738正是JBoss AS 4.x中因安全约束未涵盖HEAD方法，导致JMX控制台认证被绕过的经典案例。攻击者利用此漏洞，结合JMX的MBean部署功能，可实现从认证绕过到远程代码执行的完整攻阅读详情

之前的老项目服务器用的是JBOSS 4.2.0.GA，安全扫描的时候出现了CVE-2010-3708, CVE-2010-3862, CVE-2010-3878这些漏洞！搜了很久都找不到解决方法！红帽的官网也没有给出补丁文件，只是让用户升级，可是这个不敢随便升啊，万一不兼容的话就惨了！！有没有大神有解决的办法啊！

CVSS (基础分值)
CVSS分值: 7.5 [严重(HIGH)]
机密性影响: PARTIAL [很可能造成信息泄露]
完整性影响: PARTIAL [可能会导致系统文件被修改]
可用性影响: PARTIAL [可能会导致性能下降或中断资源访问]
攻击复杂度: LOW [漏洞利用没有访问限制 ]
攻击向量: NETWORK [攻击者不需要获取内网访问权或本地访问权]
身份认证: NONE [漏洞利用无需身份认证]
- CWE (弱点类目)
CWE-20 [输入验证不恰当]

这些漏洞都是利用无需身份验证，可是我把JBOSS的控制台都砍掉了都依旧出现这样的问题，这个问题困扰很久了，希望有大神能帮我解决！！

...全文