Oracle iPlanet Web Server | 多个安全缝隙公告

颁布功夫 2020-05-12

0x00 缝隙概述



产品

CVE ID

类 型

缝隙等级

远程利用

影响领域

Oracle iPlanet Web Server

CVE-2020-9314

I

中危

是

Oracle iPlanet Web Server 7.0.x版本

CVE-2020-9315

中危

是


0x01 缝隙详情


8827太阳集团(Macau)股份有限公司-Official website


Oracle iPlanet Web Server（OiWS）是美国甲骨文（Oracle）公司的一款重要用于中型和大型业务利用法式的Web服务器。。 。。。。。。

最近，，，， ，，，，钻研人员发现了两个影响Oracle iPlanet Web Server的安全缝隙，，，， ，，，，跟踪到的缝隙为CVE-2020-9314和CVE-2020-9315，，，， ，，，，它们可能导致注入攻击和敏感数据泄露。。 。。。。。。

CVE-2020-9314是Oracle iPlanet Web Server的Web治理节造台中存在的一个注入缝隙。。 。。。。。。治理节造台中的“productNameSrc”参数允许注入表部映像。。 。。。。。。当与“productNameHeight”和“productNameWidth”参数结合使用时，，，， ，，，，能够将表部图像注入站点以利于网络垂钓。。 。。。。。。这是由于CVE-2012-0516的建补法式不齐全所致。。 。。。。。。较早的建复法式增长了针对XSS问题的验证，，，， ，，，，但对确保没有加载表部映像未增长验证。。 。。。。。。

缝隙验证可尝试以下链接：

http://%5Btarget%5D/admingui/version/Version?&productNameSrc=http://www.example.com/test.jpg&productNameHeight=500&productNameWidth=500

http://%5Btarget%5D/admingui/version/Masthead.jsp?productNameSrc=http://www.example.com/test.jpg&productNameHeight=500&productNameWidth=500

CVE-2020-9315是Oracle iPlanet Web Server的Web治理节造台中存在的一个安全缝隙。。 。。。。。。该缝隙使得无需身份验证即可从节造台中的任何页面读守信息。。 。。。。。。这可能导致有关服务器的配相信息（蕴含加密密钥，，，， ，，，，JVM配置和其他数据）的敏感数据泄露。。 。。。。。�？？？？？Ｄ芄煌ü嬷卫斫谠焯ㄖ腥魏我趁娴娜魏蜺RL来实现，，，， ，，，，如下所示：

http://%5Btarget%5D/admingui/admingui/*

http://%5Btarget%5D/admingui/版本/*

缝隙验证可尝试以下链接：

http://%5Btarget%5D/admingui/version/

http://%5Btarget%5D/admingui/version/serverTasksGeneral?serverTasksGeneral.GeneralWebserverTabs.Tabhref=2


0x02 措置建议


由于Oracle不再支持Oracle iPlanet Web Server 7.0.x，，，， ，，，，所以不筹算颁布安全补丁法式。。 。。。。。。

一时措施：

最新版本的Oracle Glassfish和Eclipse Glassfish与iPlanet共享通用代码，，，， ，，，，已通过测试，，，， ，，，，没有缝隙，，，， ，，，，建议受影响用户下载使用。。 。。。。。。

限度从Internet到Oracle iPlanet Web Server的Web治理节造台的接见，，，， ，，，，只允许可信ip接见。。 。。。。。。


0x03 有关新闻


https://securityaffairs.co/wordpress/103055/hacking/oracles-iplanet-web-server-flaws.html?utm_source=rss&utm_medium=rss&utm_campaign=oracles-iplanet-web-server-flaws


0x04 参考链接


https://wwws.nightwatchcybersecurity.com/2020/05/10/two-vulnerabilities-in-oracles-iplanet-web-server-cve-2020-9315-and-cve-2020-9314/

https://www.oracle.com/us/assets/lifetime-support-middleware-069163.pdf


0x05 功夫线


2020-05-12 VSRC颁布缝隙公告


8827太阳集团(Macau)股份有限公司-Official website