Apache WSS4J安全限制绕过漏洞(CVE

发布日期:2015-02-10
更新日期:2015-02-13

受影响系统:
Apache Group WSS4J < 2.0.2
 Apache Group WSS4J < 1.6.17
 Apache Group WSS4J
描述:
BUGTRAQ  ID: 72557
 CVE(CAN) ID: CVE-2015-0227

WSS4J实现了WS-Security,是AXIS的安全模块,但也可以用于其他Web Services框架(例如XFIRE,CXF)。

Apache WSS4J 1.6.17、2.0.2之前版本,设置"requireSignedEncryptedDataElements"布尔配置属性后,会在文档的签名子树中包含EncryptedData元素,此属性的默认值为“false”,但通过多种类型的包装攻击,可以篡改此设置。

<*来源:vendor
  *>

建议:
厂商补丁:

Apache Group
 ------------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:http://www.heiqu.com/ffbcf46ebb06011faeb9cc2d38b3b514.html