Project Woodstock 404 錯誤頁面 UTF-7 編碼的 XSS
medium Nessus Plugin ID 38733
語系：
概要
遠端 Web 伺服器正在執行受到跨網站指令碼處理弱點影響的 Web 應用程式。說明
遠端 Web 伺服器包含一個使用 Woodstock 元件建置的 Web 應用程式，Woodstock 元件是 Java Server Faces 和 AJAX 上的 Web 式使用者介面元件。Woodstock 是 Sun Glassfish Enterprise Server 的一部分，且可與其他 Java Web 容器一起使用，例如 JBoss、Tomcat 和 WebLogic。產生 404 錯誤頁面時，使用中的 Woodstock 版本無法正常清除使用者提供的 URI 資料。藉由將 UTF-7 編碼的 URI 傳送到受影響應用程式，攻擊者可發動跨網站指令碼處理攻擊。
請注意，只有當受害者將其瀏覽器設為自動偵測編碼，且瀏覽器可識別 UTF-7 時，此攻擊才會生效。
解決方案
從 CVS 下載最新的 Woodstock 來源。另請參閱
http://web.archive.org/web/20100323035516/http://dsecrg.com:80/pages/vul/show.php?id=138
https://www.securityfocus.com/archive/1/503239/30/0/threaded
https://woodstock.dev.java.net/servlets/ReadMsg?list=cvs&msgNo=4041
Plugin 詳細資訊
嚴重性: Medium
ID: 38733
檔案名稱: woodstock_404_utf7_xss.nasl
版本: 1.21
類型: remote
系列: CGI abuses : XSS
已發布: 2009/5/11
已更新: 2021/1/19
組態: 啟用 Paranoid 模式
支援的感應器: Nessus
風險資訊
VPR
風險因素: Low
分數: 3.8
CVSS v2
風險因素: Medium
基本分數: 4.3
時間分數: 3.7
媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
弱點資訊
必要的 KB 項目: Settings/ParanoidReport
排除在外的 KB 項目: Settings/disable_cgi_scanning
可輕鬆利用: No exploit is required
由 Nessus 利用: true
參考資訊
CVE: CVE-2009-1554