IBM Rational Automation Framework Web UI 安全绕过漏洞

发布日期：2012-12-19
更新日期：2012-12-22受影响系统：
IBM Rational Automation Framework 3.x
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 57008
CVE（CAN） ID: CVE-2012-4816IBM Rational Automation Framework 能够自动执行中间件环境构建、中间件管理以及应用程序和相关工件的部署。这种可定制且可扩展的框架支持 IBM WebSphere 中间件、Oracle WebLogic Server 和 JBoss Application Server。IBM Rational Automation Framework （RAF） 3.0, 3.0.0.1, 3.0.0.2, 3.0.0.3, 3.0.0.4, 3.0.0.5没有正确检查凭证，通过80/TCP端口访问Rational Automation Framework （RAF） Web UI时，其会强制要求用户登录，但用户可以直接访问8080/TCP（默认的应用程序服务器端口）浏览各种根上下文，直到找出向导的位置。<*来源：IBM （ncsupp@ca.ibm.com）

链接：http://secunia.com/advisories/51587/
http://xforce.iss.net/xforce/xfdb/78379
http://www-01.ibm.com/support/docview.wss？uid=swg21620359
*>建议：
--------------------------------------------------------------------------------
临时解决方法：Environment Generation Security Patch for Tomcat1、修改下面的文件，修复Env Gen Wizard默认不用登陆即可访问。Path: C:IBM\Apache omcatconf
File: tomcat-users.xml在<tomcat-users>标签之间添加用户配置文件 <role rolename="admin"/>
<user username="admin" password="test123" roles="admin"/>2、在</web-app>标签上添加下列组件Path: C:IBMApache omcatwebapps afwWEB-INF
File: Web.xml
<security-role>
<role-name>admin</role-name>
</security-role><security-constraint>
<display-name>Environment Generation</display-name>
<web-resource-collection>
<web-resource-name>Administration</web-resource-name>
<url-pattern>/rafw/*</url-pattern>
</web-resource-collection> <！-- Only administrators can access this resource -->
<auth-constraint>
<role-name>admin</role-name>
</auth-constraint>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint><！-- Use BASIC security -->
<login-config>
<auth-method>BASIC</auth-method>
<realm-name>Secure Area</realm-name>
</login-config>3、重启BuildForge。Environment Generation Security Patch for WebSphere Application Server （WAS 7.0 & 8.0）更新web.xml文件1、web.xml文件有两个副本，位于下面的目录中：
/WAS_install_root/installedApps/<cellname>/rweb.ear/rweb.war/WEB-INF/web.xml
/WAS_install_root/config/cells/<cellname>/applications/rweb.ear/deployments/rweb/rweb.war/WEB-INF/web.xml
注：如果是 WebSphere Application Server Network Deployment，必须更新下面的文件：/IBM/WebSphere/AppServer/profiles/Dmgr01/config/cells/<dellname>/applications/rweb_war.ear/deployments/rweb_war/rweb.war/web.xml2、插入下文到三个web.xml文件<security-constraint>
<display-name>Environment Generation</display-name>
<web-resource-collection>
<web-resource-name>Security constraint for Env Gen</web-resource-name>
<url-pattern>/rafw/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>admin</role-name>
</auth-constraint>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>
<login-config>
<auth-method>BASIC</auth-method>
</login-config><security-role>
<role-name>admin</role-name>
</security-role>3、启用WebSphere Application Server security4、将Web.xml内的Security Roles映射到WAS Manage User/Group尝试使用默认的WAS端口登录：http://<server_url>:9080/rafw/env厂商补丁：IBM
---
IBM已经为此发布了一个安全公告（swg21620359）以及相应补丁:swg21620359：Security Bulletin: Rational Automation Framework Environment Wizard Vulnerability （CVE-2012-4816）链接：http://www-01.ibm.com/support/docview.wss？uid=swg21620359Safari 浏览器被曝存在严重的 JavaScript 漏洞IBM Rational Policy Tester 5.4-8.5.0.2 SSL连接验证安全绕过漏洞相关资讯安全绕过漏洞

StarVedia IP Camera IC502w+安全（03/29/2013 14:09:17）
JBoss Enterprise Application （01/29/2013 10:15:58）
Rockwell Automation ControlLogix （01/19/2013 09:22:12）

Netgear SPH200D多个安全漏洞（02/02/2013 07:26:29）
Rockwell Automation ControlLogix （01/19/2013 09:26:45）
Yealink SIP-T20P IP电话隐藏页面（12/24/2012 19:15:37）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规