Avis du CERT-FR

Description

JRUN est un serveur applicatif présent dans les serveurs web les plus courants (Apache et Internet Information Server (IIS)). Plusieurs vulnérabilités affectent ce serveur :

• Une vulnérabilité dans la génération et la manipulation de l'identifiant de sessions JSESSIONID du serveur JRUN permet à un utilisateur mal intentionné d'usurper une session entre un client et le serveur vulnérable ;
• une vulnérabilité de type Cross-site scripting est présente dans la console d'administration JRUN Management Console ;
• une vulnérabilité présente dans le connecteur JRUN du serveur Web Internet Information Server de Microsoft permet à un utilisateur mal intentionné, au moyen d'une URL malicieusement construite, de contourner les restrictions d'accès appliquées à certaines pages web (possèdants les extentions .php, .asp et .pl) afin d'en visualiser le code source ;
• une vulnérabilité du serveur JRUN permet à un individu mal intentionné d'éxecuter du code arbitraire à distance afin de provoquer l'arrêt de la machine lorsque celle-ci est configurée en mode de débogage.

Les trois premières vulnérabilités affectent uniquement la version 4.0 du serveur JRUN.

Solution

Appliquer le correctif de sécurité disponible à partir du site de l'éditeur (cf. Documentation).