0

私は 3 つの jboss サーバーをライブで実行しており、それらは 1 つの http プールから組織の外部に提供されています。

問題は、jboss jmx-console のセキュリティの問題に関するものです。ほとんどの人が知っているように、jboss のセキュリティ バグは CVE-2010-0738 のコードとして公開されています。ただし、web.xml から http メソッドの GET および POST 行を削除しても、問題は解決しません。

どんな助けでも大歓迎です。

どうもありがとう。

4

1 に答える 1

0

サーバーを外部アドレスにバインドして、ローカル アドレスからのみ jmx-console へのアクセスを禁止することはできません。

jboss-4.2.3 では jmx-console のセキュリティはデフォルトで無効になっているため、有効にする必要があります。3 つの手順を実行する必要があります。

  1. jmx-console/WEB-INF/web.xml の最後の部分 web.xml のコメントを外します (security-constraint、login-config、および security-role の部分)。
  2. jboss-web.xml にある 1 行のコメントを外します ( line)
  3. server/ <profile>/conf/props/jmx-console-users.propertiesでパスワードを変更します

jmx-console-users.properties で設定されたユーザーとパスワード、および jmx-console-roles.properties でロール JBossAdmin を使用してのみ、jmx-console にアクセスできるようになりました。

また、前述の部分を削除することを忘れないでください。

<http-method>GET</http-method>
<http-method>POST</http-method>

また、デプロイ ディレクトリから jmx-console 全体を削除するだけで、jmx-console を完全に無効にすることもできます。

于 2013-01-03T15:03:48.347 に答える