Oracle 9iAS v.1.0.2.2 のデフォルトインストールでは、どのような種類の認証情報も必要とせずに SOAP サービスを展開するか、展開解除することができます。これは、SOAP サンプルを使用する便利な方法を提供するために、インストール後にデフォルトで有効になっている SOAP によるものです。 
ただし、この機能は、リモート攻撃者が SOAP サービスを作成して、次にリモートでこれを呼び出すことができるため、パブリックアクセスで HTTP サーバーへの脅威をもたらします。SOAP サービスは、Oracle 9iAS に任意の Java コードを含めることができるため、攻撃者は、リモートサーバーで任意のコードを実行できます。

検出

Oracle 9iAS デフォルト SOAP 構成の未承認アプリケーション展開

high Nessus プラグイン ID 11227

変更ログが見つかりません