发布日期：2001-11-28
更新日期：2001-11-29

受影响系统：

JRun 3.1 (all editions)
JRun 3.0 (all editions)
JRun 2.3.3 (all editions)

描述：

---

Macromedia JRun是一个易于使用的Java应用服务器，与Web服务器程序结合使用。

JRun的(SSIServer Side Includes)处理模块存在问题，利用这个漏洞攻击者可以得到
Web目录下的网页源码，包括.jsp程序。

当一个针对SSI页面的请求被发送到服务器的时候，如果网页不存在，JRun会把用户的HTTP
请求本身包括在网页里返回给用户。通常HTTP请求不会有什么内容，但一个恶意的用户可能
会发送一个包括SSI指令的请求给服务器，它可以把Web目录下的其他文件包含进来，这样攻
击者就能得到网页的源码了，比如以下的请求：

GET /nosuch.shtml HTTP/1.0
Content Length: 38
<!--#include virtual="/index.jsp"-->

可以得到index.jsp的源码。

<*来源：Netcraft Security （security@netcraft.com）
  链接：http://archives.neohapsis.com/archives/bugtraq/2001-11/0238.html
*>


建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 禁掉.shtml的映射，可以用如下方法实现：
     
     对于JRun 3.1 和 3.0 ，把下面的如下的行从/jrun/lib/ global.properties文件
     的rules节中删除：
     webapp.servlet-mapping.*.shtml=ssifilter
     再把如下的行加到jrun/lib/global.properties文件的rules节中：
     webapp.servlet-mapping./servlet/allaire.jrun.ssi.SSIFilter=xxx

     对于JRun 2.3.3，可以使用JRun 2.3.3 Administrator来删除.shtml映射：
        1. 启动 2.3.3 Administrator
        2. 选择以 "jsm-default"开始的那行
        3. 点击"Configure" 按钮
        4. 选择以"jse"开始的那行
        5. 点击"Service Config" 按钮
        6. 点击"Mappings" 按钮
        7. 选择以 "*.shtml"开始的那行
        8. 点击"Delete" 按钮
        9. 点击"Save" 按钮
        10.重复1-9步，把第4步的中的"jse"换成"jseweb"
        
厂商补丁：

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商
的主页以获取最新版本：
http://www.macromedia.com/go/xtraffic_mm_al_software_jrunst/

浏览次数：3643
严重程度：0（网友投票）