Se ha descubierto una vulnerabilidad en las versiones 6, 7 y 8 de
BEA WebLogic Server y Express que puede ser explotada por usuarios
maliciosos para acceder a información de sistema y a información
potencialmente sensible.
El problema se debe a que puede accederse de forma anónima al
MBeanHome vía JNDI (Java Naming and Directory Interface). Esta
circunstancia puede explotarse para acceder a ciertos MBeans de
configuración, que potencialmente contienen información sensible
sobre la propia configuración. La explotación con éxito de la
vulnerabilidad requiere que el acceso RMI (Remote Method Invocation)
al sitio y al lookup anónimo de administrador no haya sido desactivado.
Si bien la vulnerabilidad ha sido confirmada en las versiones 6.1,
7.0 y 8.1, no se descarta que pueda afectar igualmente a otras.
Como contramedida, BEA recomienda proteger las entradas JNDI que
contengan información sensible, desactivando el lookup anónimo de
administrador (versiones 7.x o posterior) o restringiendo el acceso
RMI.
jcanto@hispasec.com
Más información:
Workaround available to prevent Mbean exposure
http://dev2dev.bea.com/pub/advisory/162
