JBoss

Die Schwachstelle betrifft die Web-Konsole (web-console) des JBoss Application Servers in Red Hat JBoss. Der Zugriff auf diese Verwaltungsoberfläche ist für unangemeldete Nutzer standardmäßig gesperrt. Diese Sperre greift jedoch nur unvollständig: Die Zugriffskontrolle prüft ausschließlich Anfragen, die mit den HTTP-Methoden GET und POST gestellt werden. Verwendet ein Angreifer hingegen eine andere, nicht von der Kontrolle erfasste HTTP-Methode, läuft die Prüfung ins Leere und die Sperre wird umgangen. Auf diese Weise kann ein entfernter, nicht authentifizierter Angreifer ohne gültige Zugangsdaten auf die Web-Konsole zugreifen und vertrauliche Informationen auslesen. Die Ursache liegt also nicht in einem fehlenden Schutz, sondern in einer lückenhaft umgesetzten Zugriffskontrolle, die nur einen Teil der möglichen Anfragearten abdeckt. Betroffen sind Installationen, bei denen die Web-Konsole erreichbar ist.