GlassFish目錄泄漏漏洞

Question

我有一個Glassfish 4.1.1服務器，那裏有一個漏洞掃描與MCafee漏洞管理器發現該服務器有Apache Tomcat目錄泄漏漏洞[FID 10109]管理服務器（端口4848）我搜索，只能找到Directory Transversal漏洞的解決方案，任何一個都解決了這個漏洞？

Answer 1

我很確定這實際上並不是GlassFish 4.1.1的問題。這是很難找到對這個細節沒有CVE號碼，但我發現了一個McAfee PDF which lists the vulnerability：

搜索的招標編號導致我a SecurityFocus page列出的漏洞影響的Apache Tomcat 3.2，15年前。所以這個bug比GlassFish本身更舊。

GlassFish的一部分來自Tomcat（Catalina代碼的部分），儘管從那以後它已經發生了很大的變化。 GlassFish中確實存在的Tomcat代碼並沒有這個漏洞那麼古老，所以我不認爲這是一個問題。

我不知道McAfee掃描是如何工作的，所以很難說它是否可能找到其他東西並錯誤地將其標記爲此錯誤。即使那樣，我認爲邁克菲可能會錯誤地標記錯誤，因爲我之前鏈接到的PDF來自實際發現錯誤後的10年。

如果您擔心GlassFish的安全問題，我建議您看看Payara服務器（免責聲明：我是Payara的僱員）。 GlassFish中存在許多漏洞，現在已在Payara Server，detailed in the documentation中修復。

有關安全漏洞的地址分配方式的更多細節可以在這個ServerFault答案中找到：
https://serverfault.com/a/818798/175741