Actu
Vigil@nce : Apache Tomcat, lecture des mots de passe de MemoryUserDatabase
juin 2011 par Vigil@nce
Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/
SYNTHÈSE DE LA VULNÉRABILITÉ
Un attaquant, qui est autorisé à consulter les fichiers de log,
peut y lire les mots de passe qui y sont parfois enregistrés.
– Gravité : 1/4
– Date création : 27/06/2011
PRODUITS CONCERNÉS
– Apache Tomcat
DESCRIPTION DE LA VULNÉRABILITÉ
La MemoryUserDatabase stocke les informations sur les utilisateurs
en mémoire, à partir du fichier conf/tomcat-users.xml. L’ajout des
utilisateurs peut être géré via JMX (Java Management Extensions).
Lorsqu’une exception (Out of Memory par exemple) se produit lors
de la création d’un utilisateur dans org/apache/catalina/mbeans/MemoryUserDatabaseMBean.java,
cette classe journalise le nom et le mot de passe de l’utilisateur.
Un attaquant, qui est autorisé à consulter les fichiers de log,
peut donc y lire les mots de passe qui y sont parfois enregistrés.
ACCÈS AU BULLETIN VIGIL@NCE COMPLET
