涉及程序：
jrun
描述：
allair jrun 非法读取 web-inf 漏洞
详细：
在allaire 的 jrun 服务器 2.3版本中存在一个严重的安全漏洞。它允许一个攻击者在 jrun 3.0 服务器中查看 web-inf 目录。
如果用户在提交 url 请求时在，通过附加一个“/”使该 url 成为畸形的 url，这时 web-inf 下的所有子目录将会暴露出来。攻击者巧妙的利用该漏洞将能够远程获得目标主机系统中 web-inf 目录下的所有文件的读取权限。
例如使用下面这个 url 将会暴露 web-inf 下的所有文件：
http://site.running.jrun:8100//web-inf/
受影响的系统：
allaire jrun 3.0
解决方案：
下载并安装补丁：
allaire patch jr233p_asb00_28_29
http://download.allaire.com/jrun/jr233p_asb00_28_29.zip
windows 95/98/nt/2000 and windows nt alpha
allaire patch jr233p_asb00_28_29tar
http://download.allaire.com/jrun/jr233p_asb00_28_29.tar.gz
unix/linux patch - gnu gzip/tar
Java Asp PHP .Net XML C/C++ CGI VB Jsp J2ee J2se J2me EJB Servlet Tomcat Resin Struts Weblogic Eclipse ANT GUI JMS Web servise IDEA Webphere Hibernate Spring Jboss Applet Swing Socket Javamail Perl Ajax P2P 安全 模式 框架 测试 开源 游戏
Windows XP Windows 2000 Windows 2003 Windows Me Windows 9.x Linux UNIX 注册表 操作系统 服务器 应用服务器
