Apache Tomcat HTTP DIGEST authentication 多個漏洞
最後更新
2011年09月27日 12:17
發佈日期:
2011年09月27日
3057
觀看次數
風險: 中度風險
類型: 伺服器 - 互聯網應用伺服器
在 Apache Tomcat 發現多個漏洞，惡意使用者可利用漏洞繞過保安限制。
HTTP DIGEST 核證被發有以下弱點：
- 允許 replay 攻擊
- 沒有檢查伺服器 nonces
- 沒有檢查客戶端 nonce 數目
- 沒有檢查 qop 值
- 沒有檢查 realm 值
- 伺服器密匙使用已知的字串
這些弱點做成 DIGEST 認證跟 BASIC 認證安全等級一樣。
影響
- 繞過保安限制
受影響之系統或技術
- Apache Tomcat 7.0.x
- Apache Tomcat 6.0.x
- Apache Tomcat 5.5.x
解決方案
在安裝軟體之前，請先瀏覽軟體供應商之網站，以獲得更多詳細資料。
Tomcat 7.0.x
升級至 7.0.12 或之後Tomcat 6.0.x
升級至 6.0.33 或之後Tomcat 5.5.x
升級至 5.5.34 或之後
漏洞識別碼
資料來源
相關連結
分享至