JVNDB-2005-000356
|
BEA WebLogic Server の組み込み LDAP サーバへの多数接続によるサービス運用妨害 (DoS) の脆弱性
|
|
------------
本脆弱性情報は、同時期に公開された複数の脆弱性について、まとめて解説したものです。タイトル以外の他の脆弱性情報の内容が含まれていますので予めご了承ください。
------------
組み込み LDAP サーバは、ユーザ、グループ、グループメンバシップ、セキュリティロール、セキュリティポリシ、および資格マップ情報が格納される既定のセキュリティプロバイダデータベースです。デフォルトで、各属性のデフォルト値が設定された組み込み LDAP サーバが WebLogic Server ドメインごとに存在します。
BEA WebLogic Server には、セキュリティ上の問題が存在するため、リモートユーザが匿名 (anonymous) で組み込み LDAP サーバにバインドできる問題が存在します。
この問題を利用するリモートの攻撃者は、結果としてユーザエントリを参照する、あるいは標的の組み込み LDAP サーバに多数の接続を確立させることにより、この LDAP サーバをサービス不能状態に陥らせる可能性があります。
尚、ユーザエントリを参照するためには、攻撃者はスキーマを推測する必要があります。また、参照に成功した場合であっても属性を表示することはできません。
|
|
CVSS v2 による深刻度
基本値: 6.4 (警告) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): なし
- 可用性への影響(A): 部分的
|
|
|
BEAシステムズ
- BEA WebLogic Server 8.1 SP4 およびそれ以前
- BEA WebLogic Server 7.0 SP5 およびそれ以前
|
|
|
本脆弱性に伴う影響については、「概要」をご参照ください。
|
|
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
|
|
BEAシステムズ
|
|
|
|
- CVE-2006-0419
|
|
- National Vulnerability Database (NVD) : CVE-2006-0419
- Secunia Advisory : SA15486
- SecurityFocus : 13717
- FrSIRT Advisories : FrSIRT/ADV-2005-0608
|
|
|
