安全研究
安全漏洞
Apache Tomcat 4.1 JSP请求远程跨站脚本执行漏洞
发布日期:2002-08-21
更新日期:2002-08-29
受影响系统:Apache Software Foundation Tomcat 4.1.9 beta
Apache Software Foundation Tomcat 4.1.3 beta
Apache Software Foundation Tomcat 4.1
- Linux系统
- Unix系统
描述:
BUGTRAQ ID:
5542
Apache Tomcat是一款由Apache Foundation维护的免费开放源代码的Java Servlet和JSP服务程序。
Apache Tomcat在处理HTTP请求时过滤不够充分,远程攻击者可以利用这个漏洞进行跨站脚本执行攻击。
攻击者可以构建包含恶意脚本代码,请求某一JSP文件的URI,当服务程序处理这个HTTP请求产生包含错误信息的页面的时候,没有对包含的恶意脚本代码作出正确过滤检查,当其他用户浏览这个页面时,可导致包含的恶意脚本代码在用户浏览器上执行,使得基于认证的Cookie等信息泄露。
<*来源:Skinnay (
skinnay@skinnux.com)
*>
测试方法:
警 告
以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!
Skinnay (
skinnay@skinnux.com)提供了如下测试方法:
http://example.com:8080/666%0a%0a<script>alert("asdf");</script>666.jsp建议:
临时解决方法:
如果您不能立刻安装补丁或者升级,NSFOCUS建议您采取以下措施以降低威胁:
* 暂时关闭浏览器的Javascript功能。
厂商补丁:
Apache Software Foundation
--------------------------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
http://jakarta.apache.org/tomcat/index.html浏览次数:6786
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载 绿盟科技给您安全的保障 |