Jonathan Gallimore

Authentication configured for an EJB JAX-WS endpoint in the TomEE deployment descriptor is not enforced when the endpoint is published within an existing web application. A remote unauthenticated attacker can invoke the web service operations, unless the application protects the endpoint with its own web.xml security constraints or EJB method permissions. Users are recommended to upgrade to version 10.3.0 or 11.0.0-M2, which fix the issue.

As restrições de segurança para endpoints EJB JAX-WS com autenticação configurada protegem apenas alguns métodos HTTP. Isso permite que um invasor remoto não autenticado ignore a autenticação ao enviar solicitações com outro método HTTP.

**Nome do software vulnerável e versões afetadas: Versões do Apache TomEE de 1.0.0 a 1.7.5 Versões do Apache TomEE de 7.0.0-M1 a 7.0.7 Versões do Apache TomEE de 7.1.0 a 7.1.2 Versões do Apache TomEE de 8.0.0-M1 a 8.0.1 Descrição: O problema está relacionado a erros de autenticação no aplicativo do servidor Apache TomEE. A exploração dessa vulnerabilidade pode permitir que um invasor remoto eleve privilégios, execute código arbitrário ou cause uma negação de serviço. Se o Apache TomEE estiver configurado para usar o broker ActiveMQ incorporado e a URI do broker incluir o parâmetro `useJMX=true`, uma porta JMX é aberta na porta TCP 1099 sem autenticação. Recomendações: Para as versões 1.0.0 a 1.7.5 do Apache TomEE, considere desativar a porta JMX na porta TCP 1099 até que um patch esteja disponível. Para as versões 7.0.0-M1 a 7.0.7 do Apache TomEE, restrinja o acesso ao broker ActiveMQ incorporado para minimizar o risco de exploração. Para as versões 7.1.0 a 7.1.2 do Apache TomEE, evite usar o parâmetro `useJMX=true` na URI do broker até que o problema seja resolvido. Para as versões 8.0.0-M1 a 8.0.1 do Apache TomEE, considere desativar temporariamente o broker ActiveMQ incorporado até que um patch esteja disponível.

Existe uma vulnerabilidade no Apache Flink em que um invasor com acesso local à máquina e à porta JMX pode executar um ataque man-in-the-middle usando uma solicitação especialmente criada para re-vincular o registro JMXRMI a um sob o controle do invasor. Isso compromete qualquer conexão estabelecida com o processo via JMX, permitindo a extração de credenciais e quaisquer outros dados transferidos. O ataque é possível ao executar um processo com o JMXReporter habilitado, com uma porta configurada via `metrics.reporter.reporter name>.port`.