JBoss HSQLDB远程命令注入漏洞发布时间：2003-10-08 更新时间：2003-10-08 严重程度：高 威胁程度：其它 错误类型：设计错误 利用方式：服务器模式 BUGTRAQ ID：8773 受影响系统 JBoss Group JBoss 3.0.8详细描述 JBoss存在远程命令注入漏洞。 问题存在于JBoss服务器的组件HSQLDB中，是管理JMS连接的SQL数据库。由于sun.*类的编程错误和org.apache.*类的逻辑错误，可导致攻击者访问默认配置的JBoss系统。 另外系统还存在数据库命令执行，拒绝服务攻击，日志可操作，信息泄露等漏洞。 测试代码 尚无 解决方案 更改配置文件： 修改： <!-- for tcp connection, other processes may use hsqldb --> <connection-url> jdbc:hsqldb:hsql://localhost:1701 </connection-url> 为： <!-- for in-process db with file store, saved when jboss stops. The org.jboss.jdbc.HypersonicDatabase is unnecessary --> 然后删除或注释如下行： <!-- this mbean should be used only when using tcp connections --> <mbean code="org.jboss.jdbc.HypersonicDatabase" name="jboss:service=Hypersonic"> <attribute name="Port">1701</attribute> <attribute name="Silent">true</attribute> <attribute name="Database">default</attribute> <attribute name="Trace">false</attribute> <attribute name="No_system_exit">true</attribute> </mbean> 相关信息 参考：http://www.securityfocus.com/archive/1/340366 http://www.securityfocus.com/archive/1/340443 相关主页：http://sourceforge.net/docman/display_doc.php?docid=19314&group_id=22866 http://www.jboss.org/ |
