JBoss企业应用平台JMX控制台安全绕过漏洞

发布时间：2014-08-13 15:58:24作者：知识屋

From Chinadu`s Blog

起因
设计错误
危险等级
中

影响系统
JBoss Application Server (AS) 4.0.x
JBoss Communications Platform 1.2
JBoss Enterprise Application Platform (EAP) 4.2, 4.3, 5.0
JBoss Enterprise Portal Platform (EPP) 4.3
JBoss Enterprise Web Platform (EWP) 5.0
JBoss SOA-Platform (SOA-P) 4.2, 4.3, 5.0

不受影响系统

危害
远程攻击者可以利用漏洞绕过验证访问控制接口。

攻击所需条件
攻击者必须访问JBoss Enterprise Application Platform应用。

漏洞信息
JBoss Enterprise Application Platform是一款企业级应用程序平台，用于基于JBoss的应用开发。
JBoss Enterprise Application Platform WEB控制台(/web-console)缺少正确限制，攻击者提交没有指定GET或POST的HTTP请求绕过验证，访问系统。
JBOSS在配置HTTP verbs时，访问控制的实现存在安全问题，导致如HEAD，PUT或DELETE等未在配置文件中允许的verb能够直接以jbossadmin身份调用GET处理器, 从而绕过认证。

默认的JMX控制台设置在deploy/jmx-console.war/WEB-INF/web.xml文件中设置如下：
<security-constraint>
<web-resource-collection>
<web-resource-name>HtmlAdaptor</web-resource-name>
<description>
An example security config that only allows users with the role
JBossAdmin to access the HTML JMX console web application
</description>
<url-pattern>/*</url-pattern>
<http-method>GET</http-method>
<http-method>POST</http-method>
</web-resource-collection>
<auth-constraint>
<role-name>JBossAdmin</role-name>
</auth-constraint>
</security-constraint>
这表示任何GET或POST请求在没有正确校验的情况下，JBossAdmin会阻断访问并返回401错误。但没有对HEAD, PUT和DELETE等其他VERBS进行正确限制。

测试方法
HEAD /jmx-console/HtmlAdaptor;index.?action=invokeOp&name=jboss.admin%3Aservice%3DDeploymentFileRepository&methodIndex=6&arg0=..%2Fjmx-console.war%2F&arg1=ikki&arg2=.jsp&arg3=%3C%25%40+page+import%3D%22java.io.*….... HTTP/1.1

厂商解决方案
临时解决方案
修改deploy/jmx-console.war/WEB-INF/web.xml文件使所有HTTP verbs在没有正确验证下进行访问阻断：
<security-constraint>
<web-resource-collection>
<web-resource-name>HtmlAdaptor</web-resource-name>
<description>
An example security config that only allows users with the role
JBossAdmin to access the HTML JMX console web application
</description>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>JBossAdmin</role-name>
</auth-constraint>
</security-constraint>
Redhat Linux用户可参考如下获得补丁信息：
">https://rhn.redhat.com/errata/RHSA-2010-0376.html