WebLogic管理控制台错误页面跨站脚本漏洞

发布日期：2005-05-30
更新日期：2005-05-30

受影响系统：

BEA Systems Weblogic Server 8.1
BEA Systems Weblogic Server 7.0

描述：

---

BUGTRAQ ID: 13794

BEA Systems WebLogic包含多种应用系统集成方案，包括Server/Express/Integration等。管理控制台是基于Web浏览器的图形用户界面，用于管理WebLogic Server域。

BEA WebLogic管理控制台错误页面参数中存在跨站脚本漏洞，攻击者可以诱骗合法的Web应用程序向没有戒备的终端用户发送恶意代码。

通常是通过创建嵌入了恶意脚本代码的超级链接。有效用户很可能会点击这个链接，因为它看起来好像指向可信任域中的资源。如果用户点击了这个链接的话就可以执行攻击者所提供的代码，导致窃取管理员的会话cookie。

<*来源：Team SHATTER （shatter@appsecinc.com）

链接：http://marc.theaimsgroup.com/?l=bugtraq&m=111722298705561&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://vulnerablesite:7001/console/a?=<script>alert(document.cookie)</script>

建议：

---

厂商补丁：

BEA Systems
-----------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

ftp://ftpna.bea.com/pub/releases/security/CR202495_810sp4.jar
ftp://ftpna.bea.com/pub/releases/security/CR214457_700sp6.jar

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有