jboss EJB调用程序Servlet/JMX调用程序Servlet

ca1c2owp 于 2022-11-08 发布在其他

关注(0)|答案(3)|浏览(171)

感谢所有阅读这篇文章的人。
一个外部机构在我的JBoss 4.0.4示例上的临时服务器应用程序上执行了渗透测试。
报告了“Apache Tomcat / JBoss EJBInvokerServlet / JMXInvokerServlet编组对象远程代码执行”
建议升级JBoss服务器以关闭漏洞。由于不同的业务原因，我在未来1年左右不能升级到最新版本。
在我的应用程序中，我们不需要通过任何这些Servlet使用任何war部署。我做了一些更改以解决问题[在未来1年内解决问题]。测试环境是否仍易受此报告案例影响的最佳方法是什么？-无法再次从外部机构获得服务。
顺便说一句，在我进行更改之后，对于URL http：///invoker/EJBInvokerServlet和http：///invoker/JMXInvokerServlet，我可以看到带有消息“请求的资源（/invoker/JMXInvokerServlet）不可用”的页面。在更改之前，这些URL是打开EJBInvokerServlet和JMXInvokerServlet的
有人能提出验证环境是否仍然易受攻击的方法吗？
另外，如果有任何建议的解决方案可以修复JBoss 4.0.4中的漏洞，请告诉我。

谢谢-谢谢

jboss

来源：https://stackoverflow.com/questions/23422079/ejbinvokerservlet-jmxinvokerservlet

3条答案

按热度按时间

z3yyvxxp1#

您似乎是指CVE-2012-0874：
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-0874
可在以下位置发现此漏洞的攻击：
http://www.securityfocus.com/bid/62854
查看该页面上的“exploit”选项卡。PHP代码尝试HTTP POST请求来部署任意war文件。
您说您无法再存取/invoker/EJBInvokerServlet和/invoker/JMXInvokerServlet资源，因此您是安全的。

赞(0）回复(0）举报 2022-11-08

t3irkdon2#

您是否还禁用了JMX控制台或对其进行了保护？
如果您通过注解掉web.xml中的安全约束来保护它，请确保删除所有的http-method元素，否则攻击者可以使用HEAD方法获得不安全的访问。
修复所有漏洞的建议解决方案是升级。

赞(0）回复(0）举报 2022-11-08

mftmpeh83#

使用Apache Web服务器（或任何其他http服务器）作为JBoss前面的反向代理，并禁用对JBoss管理端点的访问。因此，基本上JBoss仅在本地主机上侦听。

<VirtualHost  *:443>
    ServerName server.domain
...
    ProxyPass /invoker/EJBInvokerServlet !
    ProxyPass /invoker/JMXInvokerServlett !

    ProxyPass / ajp://localhost:8080/
    ProxyPassReverse / ajp://localhost/
</VirtualHost>

赞(0）回复(0）举报 2022-11-08

我来回答

jboss EJB调用程序Servlet/JMX调用程序Servlet

3条答案

相关问题

热门标签

最新问答