Sun安全公告：Sun ONE Application Serve新增4个安全缺陷 (SunOS
发布日期： 2004-1-6
涉及程序：
Sun ONE Application Server
描述：
Sun安全公告：Sun ONE Application Serve新增4个安全缺陷
详细：
1、JSP Source code disclosure (JSP 原始程序代码泄漏问题)：
当JSP applications部署在windows平台上时，能够直接查看JSP 的原始程序代码。
2、Log evasion (纪录截断问题)
当用户传送一个冗长的URI 请求给Application Server时，整段的URI只有最前面的4042个字符会被纪录下来，并能在Server log中看到下列的错误讯息：
WARNING: HTTP4198: flex log buffer overflow- greater than 4096 characters
3、Cross-site Scripting (跨站脚本执行缺陷)
安装在产品中的一个应用程序模板存在跨站脚本执行缺陷(Cross-site Scripting)。
4、Statefile permissions on Windows(windows下的状态临时文件权限问题)
当安装Application Server时会建立一个状态临时文件，这个文件可以用来作为在别的机器上的windows平台进行自动安装的模板文件，而且这个文件是以明文保存，且缺陷为所有用户可读。。
受影响的版本：
Sun ONE Application Server 7.0 SE
Sun ONE Application Server 7.0 PE
安全方法：
暂无有效安全代码
解决方案：
临时解决方案：
下列方式可暂时解决跨站脚本执行缺陷与状态临时文件权限问题：
(1) Cross-site scripting(跨站脚本执行)
如果已经安装了webapp-simple.ear套件，可以暂时解除安装该套件。该应用程序已安装的情况下可以在下列目录中找到：
$AS_DEF_DOMAINS_PATH/domains//applications/j2ee-modules/webapps-simple_1
图形化的管理接口也会显示该应用程序是否已经安装。
注意：AS_INSTALL 与 AS_DEF_DOMAINS_PATH 两者定义在asenv.conf文件中。
(2) Statefile permissions on Windows(windows下的状态临时文件权限问题)
当在windows下安装SunONE Application Server时，会缺省安装在"c:/sun"目录中，在这个目录中所建立的任何文件或是目录都具有所有用户皆可读取的权限(world-readable)，状态临时文件(statfile)位于"C:/sun/appserver7/statefile"中，并包含以明文显示的服务器管理员名称及密码，安装后，管理员能够改变文件权限仅允许"administrator only"或删除这个临时文件，这个文件的主要目的仅是用来在多台机器上进行自动安装。
补丁下载：
1、跨站脚本执行缺陷已经在Sun ONE Application Server 7.0 Update Release 1解决了。用户可通过下列连结下载补丁：
Standard Edition:
http://wwws.sun.com/software/download/app_servers.html
Platform Edition:
http://wwws.sun.com/software/download/app_servers.html
2、纪录文件截断的问题与JSP 原始程序代码泄漏问题将会在Sun ONE Application Server 7.0 Update release 2 解决。用户可通过下列连结下载补丁：
http://wwws.sun.com/software/download/app_servers.html
注意：管理员在Windows上安装Sun ONE Application Server应该改变状态临时文件(statfile)的权限或是删除该文件，没有新的程序来解决这个问题，厂商将会在发布的notes of Update 2中纪录并建议改变状态临时文件(statfile)的权限或是删除该文件.
