CVE-2005-1744

BEA WebLogic Server: brak wylogowania użytkowników przy redeploymencie aplikacji

CVSS 9.8v3.1pub. 2005-05-24upd. 2026-04-16

BEA WebLogic Server i WebLogic Express 7.0 (do Service Pack 5) nie wylogowuje aktywnych użytkowników podczas ponownego wdrożenia (redeploymentu) aplikacji. Oznacza to, że użytkownicy mogą nadal korzystać z aplikacji z poprzednimi uprawnieniami, nawet jeśli nowe zasady bezpieczeństwa lub mapowania ról zostały zmienione.

▸ Pokaż oryginał (EN)

BEA WebLogic Server and WebLogic Express 7.0 through Service Pack 5 does not log out users when an application is redeployed, which allows those users to continue to access the application without having to log in again, which may be in violation of newly changed security constraints or role mappings.

🤖 Analiza AI

Jak działa

Gdy administrator wdraża nową wersję aplikacji w środowisku WebLogic, serwer nie unieważnia istniejących sesji użytkowników. Użytkownicy zalogowani przed redeploymentem zachowują aktywne sesje i mogą kontynuować dostęp do aplikacji bez ponownego uwierzytelnienia. W efekcie nowo wprowadzone ograniczenia bezpieczeństwa, zmiany ról lub uprawnień nie są natychmiast egzekwowane wobec tych użytkowników, co prowadzi do niepełnego wylogowania (CWE-459).

Skutki

Atakujący lub nieuprawniony użytkownik może utrzymywać dostęp do aplikacji z uprawnieniami sprzed zmiany polityki bezpieczeństwa, omijając nowo zastosowane ograniczenia dostępu lub zmiany ról, co może prowadzić do nieautoryzowanego ujawnienia, modyfikacji lub niedostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (advisory BEA: http://dev2dev.bea.com/pub/advisory/127). Zaleca się wymuszenie unieważnienia sesji użytkowników po każdym redeploymencie aplikacji oraz weryfikację mechanizmów zarządzania sesjami po aktualizacji.