Boletines de Vulnerabilidades |
Múltiples Vulnerabilidades en BEA WebLogic Server |
|
Clasificación de la vulnerabilidad |
|
| Propiedad | Valor |
| Nivel de Confianza | Oficial |
| Impacto | Denegación de Servicio |
| Dificultad | Experto |
| Requerimientos del atacante | Acceso remoto sin cuenta a un servicio exotico |
Información sobre el sistema |
|
| Propiedad | Valor |
| Fabricant afectat | Comercial Software |
| Software afectado |
BEA WebLogic Server 9.0 BEA WebLogic Server 8.1 BEA WebLogic Server 7.0 BEA WebLogic Server 6.1 |
Descripción |
|
|
Se han descubierto múltiples vulnerabilidades en las versiones 6.1, 7.0, 8.1 y 9.0 de BEA WebLogic Server. Las vulnerabilidades son descritas a continuación: - BEA06-119.00: La Consola de Administración aplica incorrectamente las políticas JNDI. - BEA06-118.00: La identidad de servidores SSL no está adecuadamente protegida de las aplicaciones. - BEA06-117.00: Aplicar filtrado de conexiones puede provocar una disminución del rendimiento bajo determinadas situaciones. - BEA06-116.00: Proveedores de Seguridad pueden parecer activos sin estarlo bajo determinadas situaciones. - BEA06-115.00: Acceso a recursos Web de forma no autorizada. - BEA06-114.00: Aplicación instalada en el servidor puede ser capaz de desencriptar passwords. - BEA06-113.00: El proceso de cambio de contraseña puede dejar la contraseña visible en logs de la aplicación. - BEA06-112.00: El código de aplicaciones puede ser visible mediante descriptores de archivos de desarrollo. - BEA06-111.00: Acceso no autorizado a los logs del servidor por parte de un usuario remoto autorizado. - BEA06-110.00: Contraseña de la base de datos visible en el archivo config.xml. - BEA06-109.00: Múltiples vulnerabilidades en Mbean. - BEA06-108.00: Múltiples dominios administrados por la misma instancia de la Consola de Administración de WebLogic son accesibles por cualquiera de los dominios. |
|
Solución |
|
|
Actualización de software BEA WebLogic Server/Express 9.0 Aplicar el parche 9.0 GA Combo (Bug ID CR239280) http://support.bea.com/ Posteriormente aplicar los siguientes parches: ftp://ftpna.bea.com/pub/releases/security/CR254549_90.zip ftp://ftpna.bea.com/pub/releases/security/CR241234_900.jar ftp://ftpna.bea.com/pub/releases/security/CR225812_900.jar WebLogic Server and WebLogic Express 8.1 Actualizar a Service Pack 5. Posteriormente aplicar los siguientes parches: ftp://ftpna.beasys.com/pub/releases/security/CR243498_810sp5.zip ftp://ftpna.beasys.com/pub/releases/security/CR241234_810sp5.jar ftp://ftpna.beasys.com/pub/releases/security/patch_CR229017_81SP5.zip ftp://ftpna.beasys.com/pub/releases/security/CR225812_81sp5.jar WebLogic Server/Express 7.0 Actualizar a Service Pack 6. Posteriormente aplicar los siguientes parches: ftp://ftpna.bea.com/pub/releases/security/CR241234_700sp6.jar ftp://ftpna.beasys.com/pub/releases/security/CR198548_70sp6-v2.jar ftp://ftpna.beasys.com/pub/releases/security/CR183103_70sp6.jar WebLogic Server/Express 6.1 Actualizar a Service Pack 7. Posteriormente aplicar los siguientes parches: ftp://ftpna.beasys.com/pub/releases/security/CR198548_61sp7-v2.jar ftp://ftpna.beasys.com/pub/releases/security/CR183103_61sp7.jar |
|
Identificadores estándar |
|
| Propiedad | Valor |
| CVE |
CVE-2006-0421 CVE-2006-0422 CVE-2006-0423 CVE-2006-0424 CVE-2006-0425 CVE-2006-0426 CVE-2006-0427 CVE-2006-0428 CVE-2006-0429 CVE-2006-0430 CVE-2006-0431 CVE-2006-0432 |
| BID | |
Recursos adicionales |
|
|
BEA Security Advisory BEA06-119.00 http://dev2dev.bea.com/pub/advisory/176 BEA Security Advisory BEA06-118.00 http://dev2dev.bea.com/pub/advisory/175 BEA Security Advisory BEA06-117.00 http://dev2dev.bea.com/pub/advisory/174 BEA Security Advisory BEA06-116.00 http://dev2dev.bea.com/pub/advisory/173 BEA Security Advisory BEA06-115.00 http://dev2dev.bea.com/pub/advisory/172 BEA Security Advisory (BEA06-114.01) http://dev2dev.bea.com/pub/advisory/184 BEA Security Advisory BEA06-113.00 http://dev2dev.bea.com/pub/advisory/170 |
|
Histórico de versiones |
||
| Versión | Comentario | Data |
| 1.0 | Aviso emitido | 2006-01-24 |
| 1.1 | Aviso actualizado por BEA (BEA06-111.01). CVE añadido | 2006-03-21 |
| 1.2 | Aviso actualizado por BEA (BEA06-114.01) | 2006-05-16 |