CVE-2002-2142 (CNNVD-200212-150)

HIGH
中文标题:
BEA WebLogic Server/Express/Integration应用程序移植安全策略存在漏洞
英文标题:
An undocumented extension for the Servlet mappings in the Servlet 2.3 specification, when upgrading ...
CVSS分数: 7.5
发布时间: 2005-11-16 21:17:00
漏洞类型: 授权问题
状态: PUBLISHED
数据质量分数: 0.30
数据版本: v3
漏洞描述
中文描述:

BEA Systems WebLogic包含多种系统集成方案，包括Server/Express/Integration等。 当使用WebLogic Integration 7.0或7.0 Service Pack 1或者当移植WEB应用程序到WebLogic Server 7.0 Service Pack 1时，存在安全漏洞可以导致运行的WEB应用程序不需要遵循已经设置的安全策略。 WebLogic Server 7.0 Service Pack 1中的WEB应用程序存在安全漏洞，在WebLogic Server 7.0.0.1和早期WLS的发行版本中Servlet 2.3规范中存在未文档化的Servlet映射扩展，也就是说所有不以"*."和"/"开头的URL被处理成前面需增加"/"前缀，如： -在7.0 WebLogic Server GA web.xml URL模式 * 等同于Servlet 2.3 URL模式： /* -在7.0 WebLogic Server GA web.xml URL模式 foo.jsp 等同于Servlet 2.3 URL模式： /foo.jsp -在7.0 WebLogic Server GA web.xml URL模式 mydir/bar.jsp 等同于Servlet 2.3 URL模式： /mydir/bar.jsp 这个用于Servlet 2.3规范的未文档化扩展，由许多应用程序使用，包括部分WebLogic Server示例程序。在WebLogic Server 7.0 Service Pack 1中，这个扩展已经停止使用，这表示所有使用这个扩展语法的WEB应用程序将不能进行原来正常的映射和可能与部分安全策略相冲突。 <*链接：http://dev2dev.bea.com/resourcelibrary/advisoriesdetail.jsp?highlight=advisoriesnotifications&path=c *>

英文描述:

An undocumented extension for the Servlet mappings in the Servlet 2.3 specification, when upgrading to WebLogic Server and Express 7.0 Service Pack 1 from BEA WebLogic Server and Express 6.0 through 7.0.0.1, does not prepend a "/" character in certain URL patterns, which prevents the proper enforcement of role mappings and policies in applications that use the extension.

CWE类型:
（暂无数据）
标签:
（暂无数据）
受影响产品
厂商 产品 版本 版本范围 平台 CPE
bea weblogic_integration 7.0 - - cpe:2.3:a:bea:weblogic_integration:7.0:*:*:*:*:*:*:*
bea weblogic_server 6.0 - - cpe:2.3:a:bea:weblogic_server:6.0:*:*:*:*:*:*:*
bea weblogic_server 6.1 - - cpe:2.3:a:bea:weblogic_server:6.1:*:*:*:*:*:*:*
bea weblogic_server 7.0 - - cpe:2.3:a:bea:weblogic_server:7.0:*:*:*:*:*:*:*
bea weblogic_server 7.0.0.1 - - cpe:2.3:a:bea:weblogic_server:7.0.0.1:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
weblogic-security-policy-ignored(10392) vdb-entry
cve.org
访问
5971 vdb-entry
cve.org
访问
BEA02-22.00 vendor-advisory
cve.org
访问
CVSS评分详情
7.5
HIGH
CVSS向量: AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS版本: 2.0
机密性
PARTIAL
完整性
PARTIAL
可用性
PARTIAL
时间信息
发布时间:
2005-11-16 21:17:00
修改时间:
2024-08-08 03:51:17
创建时间:
2025-11-11 15:32:18
更新时间:
2025-11-11 15:48:49
利用信息
暂无可利用代码信息
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2002-2142 2025-11-11 15:17:26 2025-11-11 07:32:18
NVD nvd_CVE-2002-2142 2025-11-11 14:50:28 2025-11-11 07:41:04
CNNVD cnnvd_CNNVD-200212-150 2025-11-11 15:08:41 2025-11-11 07:48:49
版本与语言
当前版本: v3
主要语言: EN
支持语言:
EN ZH
安全公告
暂无安全公告信息
变更历史
v3 CNNVD
2025-11-11 15:48:49
vulnerability_type: 未提取 → 授权问题; cnnvd_id: 未提取 → CNNVD-200212-150; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 授权问题
  • cnnvd_id: 未提取 -> CNNVD-200212-150
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v2 NVD
2025-11-11 15:41:04
severity: SeverityLevel.MEDIUM → SeverityLevel.HIGH; cvss_score: 未提取 → 7.5; cvss_vector: NOT_EXTRACTED → AV:N/AC:L/Au:N/C:P/I:P/A:P; cvss_version: NOT_EXTRACTED → 2.0; affected_products_count: 0 → 5; data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • severity: SeverityLevel.MEDIUM -> SeverityLevel.HIGH
  • cvss_score: 未提取 -> 7.5
  • cvss_vector: NOT_EXTRACTED -> AV:N/AC:L/Au:N/C:P/I:P/A:P
  • cvss_version: NOT_EXTRACTED -> 2.0
  • affected_products_count: 0 -> 5
  • data_sources: ['cve'] -> ['cve', 'nvd']