Apache Tomcat表单认证用户名枚举漏洞

基本信息

漏洞ID：1117892
漏洞类型：信息泄露
发布日期：2009-06-03
更新时间：2015-04-13
CVE编号： CVE-2009-0580
CNNVD-ID：CNNVD-200906-069
漏洞平台：Multiple
CVSS评分：4.3

漏洞来源

<a href="https://www.exploit-db.com/exploits/33023" target="_blank">https://www.exploit-db.com/exploits/33023</a><br/> <a href="https://www.securityfocus.com/bid/35196" target="_blank">https://www.securityfocus.com/bid/35196</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200906-069" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200906-069</a><br/>

漏洞详情

Apache Tomcat是一个流行的开放源码的JSP应用服务器程序。 Apache Tomcat是一个流行的开放源码的JSP应用服务器程序。由于某些认证类中的不充分错误检查，如果远程攻击者向Tomcat服务器提交了非法URL编码的口令就可能通过返回判断是否存在所请求的用户名。如果基于表单的认证(j_security_check)使用了任意以下认证域就可以执行这种攻击： * MemoryRealm * DataSourceRealm * JDBCRealm

参考资料

来源:VUPEN
名称:ADV-2009-1496
链接:http://www.vupen.com/english/advisories/2009/1496
来源:tomcat.apache.org
链接:http://tomcat.apache.org/security-6.html
来源:tomcat.apache.org
链接:http://tomcat.apache.org/security-5.html
来源:tomcat.apache.org
链接:http://tomcat.apache.org/security-4.html
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?rev=781382&view=rev
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?rev=781379&view=rev
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?rev=747840&view=rev
来源:XF
名称:tomcat-jsecuritycheck-info-disclosure(50930)
链接:http://xforce.iss.net/xforce/xfdb/50930
来源:VUPEN
名称:ADV-2009-1856
链接:http://www.vupen.com/english/advisories/2009/1856
来源:BID
名称:35196
链接:http://www.securityfocus.com/bid/35196
来源:BUGTRAQ
名称:20090605[SECURITY]CVE-2009-0580UPDATEDApacheTomcatUserenumerationvulnerabilitywithFORMauthentication
链接:http://www.securityfocus.com/archive/1/archive/1/504125/100/0/threaded
来源:BUGTRAQ
名称:20090604Re:[SECURITY]CVE-2009-0580ApacheTomcatUserenumerationvulnerabilitywith