Bea Weblogic 存在Unicode的问题发布时间：2001-03-27 更新时间：2001-03-27 严重程度：中 威胁程度：远程非授权文件存取 错误类型：输入验证错误 利用方式：服务器模式 受影响系统 Bea Weblogic Server 6.0 for Windows NT/2000详细描述 Bea Weblogic服务程序存在一个缺陷可以导致目录浏览。 通过请求一URL并以下面的UNICODE代码结尾%00, %2e, %2f 或者 %5c， 将可能绕过对默认文档的显示如index.html，而显示WEB目录的内容。 http://www.example.org/%00/ http://www.example.org/images/%2e/ http://www.example.org/passwords/%2f/ http://www.example.org/creditcard/%5c/ 其中上面四个Unicode将转译成null", ".", "/" and "\" 测试代码 见描述部分。 解决方案 请下载SERVICE PACK1： http://commerce.bea.com/downloads/weblogic_server.jsp#wls 相关信息 此信息有Peter Grundl(peter.grundl@defcom.com)提供。 |
