проблемы безопасности jboss4

[jrmm]

из отчёта внешнего аудита:

The immediate risk of attack and compromise from the Internet is considered high, however, due to one core issue

Comments

[scoon_the_crazy]

А зачем вообще класть war-файлы в каталог, который доступен через web?

[jrmm]

я не понимаю, как он доступен. в апаче не упоминается.
можно ли выйти "вверх" из пределов контекста?

[scoon_the_crazy]

Я тоже не вижу способа достучаться к ним в стандартной конфигурации (панель управления, полагаю, Вы закрыли от внешнего доступа?)

Стало быть, нужно запросить для верификации настроек описание способа, которым они получили доступ к war'ам. Не исключено, что это просто фантазии (в моей практике такое было)

[jrmm]

во первых, внешний доступ там через апач - то есть имена виртуальных хостов фильтруются.
во вторых, в server.xml закомментированы эти приложения, а .war из default/deploy убраны в другой каталог.
может ли быть беда в самом приложении (программеры отпираются)?

еще такой момент. программеры пишут, что исходников в .war нет. правда ли это?

[scoon_the_crazy]

В нормальном war'е исходников быть не должно. Равно как и паролей и т.п. Но суть, собственно, не в этом.

Нужно узнать, как именно они получили доступ.

[jrmm]

а как оно без пароля до базы достучится?

буду пинать. возможно, получится.
спасибо.

[scoon_the_crazy]

DataSource'ы прописываются в соответствующих файлах ВНЕ приложения -- с паролями, логинами и т.п., приложение их использует.

Иногда хочется странного, но нужно это бывает редко.

[jrmm]

нашёл проблему. у меня во время аудита была включена переменная listings.

jboss по урлю http(s)://mysite.ru/deploy/ отдавал список файлов в деплое.
по урлю http(s)://mysite.ru/deploy/app.war отдавал .war

сейчас листинг прикрыл, но по полному пути всё равно отдает .war, я могу попробовать прикрыть данную дырищу на уровне апача, но datasource .xml, лежащие там же, блокировать не удастся (.xml используются на самом сайте).

вообще не понимаю, как девелоперы пропустили такой баг, или это криворучие установщика? сейчас 4.0.5, планирую убрать всё на 5.1 - пока что на виртуалке.

[scoon_the_crazy]

Что мешает закрыть весь deploy?

[jrmm]

я просто не понимаю, где он открыт. в апаче и жбоссе ссылок на этот каталог нет.

в жбоссе 5.1 этого глюка нет, даже нет файла server/default/deploy/jbossweb-tomcat.sar/conf/web.xml

[jrmm]

может быть, эта уязвимость?
https://jira.jboss.org/jira/browse/ASPATCH-126
интересно, в 5.1 ее починили или как.

[scoon_the_crazy]

Если вы открыли для внешнего анонимного доступа веб-консоль, то разговоры о безопасности вообще лишены какого-либо смысла. А если не открыли -- то я не очень понимаю, как использовать JBAS-3861.

[jrmm]

понял, спасибо. всё равно от 4 версии мы отказываемся.
консоли там нет, просто нет таких .war