1.UnifyeWaveServletExec泄露jsp源代码漏洞_MySQL

UnifyeWaveServletExec泄露jsp源代码漏洞_MySQL

       Unify eWave ServletExec 插件在特定条件下，码暴暴露了 JSP 源代码文件，码暴形成了一个漏洞。码暴此插件主要用于 WEB 服务器，码暴彩票社交网站源码包括 Microsoft IIS、码暴Apache、码暴Netscape Enterprise 服务器等。码暴

       当 HTTP 请求中包含特定字符，码暴如 %.2E+.%5C%%时，码暴ServletExec 将返回对应的码暴 JSP 文件源代码。攻击者可以利用这些 URL 请求，码暴软件源码开放如 http://target/directory/jsp/file.jsp、码暴http://target/directory/jsp/file.jsp% 等，码暴获取指定的码暴 JSP 文件源代码。

       受影响的码暴系统版本包括 Unify eWave ServletExec 3.0c、Sun Solaris 模版网源码8.0、Microsoft Windows 、Microsoft Windows NT 4.0、Microsoft Windows NT 、Linux kernel 2.3.x、IBM AIX 4.3.2、客户表单源码HP HP-UX .4 等。

       针对此漏洞，提供了两种临时解决办法。首先，若未使用静态页面或图像，dubbo源码接口可配置一个默认的 servlet，并将“/”映射到此默认 servlet。如此一来，接收到未映射到任何 servlet 的 URL 请求时，将调用默认 servlet，并返回“未找到文件”的信息。对于使用了静态页面或图像的情况，需要让默认 servlet 能处理合法的静态请求。其次，可将特定格式的文件映射到特定 servlet，该 servlet 返回“未找到文件”。对于包含特殊编码的文件名，如 *.jsp%，需要正确输入未编码的格式，如 *.jsp 。注意，%会被转换为空格字符。