发布日期：2003-01-21
更新日期：2003-01-25

受影响系统：

PeopleSoft PeopleTools 8.18
PeopleSoft PeopleTools 8.17
PeopleSoft PeopleTools 8.16
PeopleSoft PeopleTools 8.15
PeopleSoft PeopleTools 8.14

不受影响系统：

PeopleSoft PeopleTools 8.4
PeopleSoft PeopleTools 8.19

描述：

---

BUGTRAQ  ID: 6647
CVE(CAN) ID: CVE-2002-1252

PeopleSoft企业软件集成多个商务功能，包括人事、客户关系、供求关系、财务等管理。PeopleSoft应用消息网关提供基于WEB的功能，允许PeopleSoft产品和非PeopleSoft产品相互间通信和同步。

PeopleSoft包含的WEB服务程序对XML外部实体(Extenal Entity)数据缺少正确处理，远程攻击者可以利用这个漏洞读取系统任意文件内容。

PeopleSoft应用消息网关可以通过网关管理servlet来进行管理，servlet默认情况下任意用户可访问。虽然很容易关闭使用Servlet，但是多数管理员没有认识到这是个安全威胁。此Servlet用于增加处理器，用于处理哪些数据发送到网关中，其中可以增加SimpleFileHandler处理器可用于把数据推到PeopleSoft应用系统之外。一旦此处理器通过管理Servlet增加安装以后，XML数据就可以通过HTTP POST请求提交，当应答请求时，发送数据的部分元素是由XML解析器选择，一些XML标记也在应答中返回给远程用户。

如果应答数据字段中包含XML外部实体，就可以导致XML解析器读取系统任意文件，而读取的数据也将随应答返回给远程用户，造成信息泄露。另外也存在可能使Servlet打开任意TCP连接。

<*来源：Internet Security Systems Security Advisory
  
  链接：http://bvlive01.iss.net/issEn/delivery/xforce/alertdetail.jsp?oid=21811
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 建议管理员限制对所有Servlet的访问。

* 建议管理员检查下面配置属性和调整它们到独立的环境中，要修正上面的问题，可以把下面的Servlet限制在"weblogic.properties"文件中：

weblogic.httpd.register.servlets/gateway.administration=psft.pt8.config.ConfigServlet
weblogic.allow.execute.weblogic.servlet.servlets/gateway.administration=system
weblogic.httpd.register.servlets/gateway.handlers=psft.pt8.reader.ReaderServlet
weblogic.allow.execute.weblogic.servlet.servlets/gateway.handlers=system
weblogic.httpd.register.servlets/gateway=psft.pt8.gateway.GatewayServlet
weblogic.allow.execute.weblogic.servlet.servlets/gateway=system

* 如果不需要SimpleFileHandler处理器，就通过删除web服务器Servlets目录下的/psft/pt8/filehandler目录来暂时修补这个问题。

厂商补丁：

PeopleSoft
----------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载使用PeopleTools 8.4x版本。：

http://www.peoplesoft.com/corp/en/products/technology/ptools/index.asp

浏览次数：3428
严重程度：0（网友投票）