🇰🇷 한글 설명
BEA WebLogic Server 및 WebLogic Express 7.0(SP5까지) 및 8.1(SP2까지) 버전에서 발생합니다. WebLogic Builder나 SecurityRoleAssignmentMBean.toXML 메서드를 사용하여 weblogic.xml을 편집할 때, principal-name 태그가 없으면 보안 역할 할당 태그가 의도치 않게 삭제되어 웹 애플리케이션의 접근 제한이 해제될 수 있습니다.
💡 쉬운 설명
설정 파일을 수정하는 과정에서 보안 규칙이 실수로 지워지는 버그가 있습니다. 이로 인해 원래는 접근할 수 없어야 하는 사용자가 시스템에 들어올 수 있게 됩니다.
🇺🇸 원문 (English)
BEA WebLogic Server and WebLogic Express 7.0 through SP5 and 8.1 through SP2, when editing weblogic.xml using WebLogic Builder or the SecurityRoleAssignmentMBean.toXML method, inadvertently removes security-role-assignment tags when weblogic.xml does not have a principal-name tag, which can remove intended access restrictions for the associated web application.
📍 영향받는 시스템
BEA WebLogic Server 7.0 ~ 7.0 SP5, 8.1 ~ 8.1 SP2
⚔️ 공격 벡터
보안 설정 파일(weblogic.xml)의 특정 태그 누락을 이용한 권한 우회
🛡️ 대응 방법
WebLogic Server를 최신 보안 패치가 적용된 버전으로 업데이트하거나 설정 파일의 보안 태그 유무를 수동 점검하십시오.
🔧 검증 코드
설치된 WebLogic Server의 버전을 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
java -version && echo 'Check WebLogic version manually via Management Console or installation directory'
📊 CVSS Vector String
AV:N/AC:L/Au:N/C:P/I:P/A:P
💻 영향받는 소프트웨어
IBM WebSphere Application Server