🇰🇷 한글 설명
BEA WebLogic Server 및 Express 7.0/7.0.0.1 버전에서 'memory' 세션 지속성을 사용할 때, 웹 애플리케이션을 재배포하더라도 인증 정보가 삭제되지 않는 취약점이 존재합니다. 이로 인해 사용자가 재인증 없이 애플리케이션에 접근할 수 있는 권한 탈취 위험이 있습니다.
💡 쉬운 설명
웹사이트의 프로그램을 업데이트하거나 다시 실행해도 이전 사용자의 로그인 정보가 그대로 남아있는 문제입니다. 이 때문에 다른 사람이 로그인 과정 없이 내 계정으로 접속할 수 있습니다.
🇺🇸 원문 (English)
BEA WebLogic Server and Express 7.0 and 7.0.0.1, when using "memory" session persistence for web applications, does not clear authentication information when a web application is redeployed, which could allow users of that application to gain access without having to re-authenticate.
📍 영향받는 시스템
BEA WebLogic Server 7.0, Express 7.0, Express 7.0.0.1
⚔️ 공격 벡터
애플리케이션 재배포 시 잔류하는 메모리 내 세션 정보를 이용한 인증 우회
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나 세션 관리 방식을 변경하십시오.
🔧 검증 코드
명령어 결과에 해당 버전(7.0 또는 7.0.0.1)이 포함되어 있는지 확인하십시오.
rpm -qa | grep -i weblogic || dpkg -l | grep -i weblogic
📊 CVSS Vector String
AV:L/AC:L/Au:N/C:P/I:P/A:P
💻 영향받는 소프트웨어
IBM WebSphere Application Server