Input validation

The processInvocation function in org.jboss.as.ejb3.security.AuthorizationInterceptor in JBoss Enterprise Application Platform aka JBoss EAP or JBEAP before 6.0.1, authorizes all requests when no roles are allowed for an Enterprise Java Beans EJB method invocation, which allows attackers to bypas...

JBoss Enterprise Application Platform 安全绕过漏洞(CVE-2012-4549)

Bugtraq ID:56990 CVE ID:CVE-2012-4549 JBOSS是一个基于J2EE的开放源代码的应用服务器。 在不允许任何角色调用EJB方法时，需要拒绝所有用户的调用。当允许角色列表为空时，org.jboss.as.ejb3.security.AuthorizationInterceptor中的processInvocation方法不正确授权方法调用，允许攻击者绕过安全限制执行未授权操作。 0 JBoss Enterprise Application Platform 6 厂商解决方案 JBoss Enterprise Application Platform...