国家漏洞库CNNVD：关于Apache AXIS远程命令执行漏洞情况的通报

栏目: 后端 · 发布时间: 6年前

内容简介：近日，国家信息安全漏洞库（CNNVD）收到关于Apache AXIS远程命令执行漏洞（CNNVD-201906-685）情况的报送。成功利用漏洞的攻击者可在未授权情况下对目标服务器远程执行命令。 Apache AXIS 1.4之前的版本均受此漏洞影响。目前，Apache官方暂未发布该漏洞补丁，但可以通过临时修补措施缓解漏洞带来的危害，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。Apache AXIS 是一个开源、建基于XML的Web服务架构。它包含了Java和C++语言实现的SOAP服务器，以及各种

近日，国家信息安全漏洞库（CNNVD）收到关于Apache AXIS远程命令执行漏洞（CNNVD-201906-685）情况的报送。成功利用漏洞的攻击者可在未授权情况下对目标服务器远程执行命令。 Apache AXIS 1.4之前的版本均受此漏洞影响。目前，Apache官方暂未发布该漏洞补丁，但可以通过临时修补措施缓解漏洞带来的危害，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

一、漏洞介绍

Apache AXIS 是一个开源、建基于XML的Web服务架构。它包含了 Java 和C++语言实现的SOAP服务器，以及各种公用服务及API用以生成和部署Web服务应用。攻击者可以发送精心构造的恶意HTTP-POST请求，获得目标服务器的权限，在未授权的情况下远程执行命令。

二、危害影响

成功利用该漏洞的攻击者，可以在目标系统中执行恶意代码。Apache AXIS 1.4之前的版本均受此漏洞影响。

三、修复建议

目前，Apache官方暂未发布该漏洞补丁，但可以通过临时修补措施缓解漏洞带来的危害，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。漏洞修补措施如下：

1、配置URL访问控制策略：

可通过ACL禁止对/services/AdminService及/services/FreeMarkerService路径的访问。

2、禁用AXIS远程管理功能

到网站目录下找到server-config.wsdd文件，用文本编辑器打开，找到enableRemoteAdmin配置项，将值设置为false。

本通报由CNNVD技术支撑单位——奇安信科技集团股份有限公司、北京神州绿盟信息安全科技股份有限公司提供支持。

CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD联系。

联系方式: cnnvd@itsec.gov.cn

声明：本文来自CNNVD安全动态，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。

以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。

码农书籍

深入理解计算机系统（英文版·第2版）

[美] Randal E. Bryant、[美] David R. O'Hallaron / 机械工业出版社 / 2011-1 / 128.00元

本书是一本将计算机软件和硬件理论结合讲述的经典教程，内容覆盖计算机导论、体系结构和处理器设计等多门课程。本书的最大优点是为程序员描述计算机系统的实现细节，通过描述程序是如何映射到系统上，以及程序是如何执行的，使读者更好地理解程序的行为为什么是这样的，以及造成效率低下的原因。相对于第1版，本版主要是反映了过去十年间硬件技术和编译器的变化，具体更新如下： 1. 对系统的介绍（特别是实际使......一起来看看《深入理解计算机系统（英文版·第2版）》这本书的介绍吧!

码农工具