下表列出了 Web Server 安全性方面的已知问题。
表 15 安全性方面的已知问题
问题 ID |
描述 |
---|---|
6433752 |
SSL 检查不能用于基于 NSAPI 的插件。 "PathCheck fn="ssl-check" secret-keysize=128 bong file="xxxxx.yyy.html" 对于静态文件请求,如果客户机的 secret-keysize 小于服务器指定的大小,并且存在 bong 文件,bong 文件将被作为响应返回。但是,对动态内容(例如,JSP 文件)的请求返回实际请求的对象(例如,JSP 文件),而不是 bong 文件。 |
6421617 |
使服务器解析的 HTML (ParseHTML) 和 .htaccess 包含受限制的组选项时出现问题。 解析具有 shtml 包含条目且已配置为通过启用了“由组限制”选项的 .htaccess 验证的 HTML 文件时,验证将成功。如果组用户通过验证,结果页不会获取 shtml 包含条目。但是,对于具有“由用户限定”选项的 .htaccess 文件中的用户,该操作能顺利进行。
|
6376901 |
支持同一目录中的资源的基于基本的 ACL 和基于摘要的 ACL 时的限制。 如果服务器在其文档树的不同部分中使用基于摘要的 ACL 和基于基本的 ACL,将无法在相同目录的不同文件或资源中同时使用它们。 |
6431287 |
TLS_ECDH_RSA_* 要求使用 RSA 密钥签名的服务器证书。 格式为 TLS_ECDH_RSA_* 的加密算法套件要求服务器具有 ECC 密钥对,并且具有使用 RSA 密钥签名的证书。请注意,这不包括将这些加密算法套件与自签名证书一起使用。此要求是这些加密算法套件固有的,不是错误。服务器应检测与这些加密算法套件相关的错误配置,并对其发出警告,但当前服务器未执行这些操作。 |
6467621 |
使用 "Sun Software PKCS#11 softtoken" 向服务器提出请求失败。 有关使用 Solaris 10 libpkcs11 配置 Web Server 的其他信息,请参阅以下文档: http://www.sun.com/bigadmin/features/articles/web_server_t1.html |
6474584 |
dayofweek 不接受 "*" 作为选项。 例如,按如下所示设置 ACL: acl "uri=/"; deny (all) dayofweek="*"; allow (all) dayofweek="Sat,Sun"; 在此程序中,除星期六和星期天外,对一周中其他几天的访问都受到了限制。此程序无效,因为在星期一您可以成功访问 ACL。 解决方法 按如下所示设置 ACL,对在星期一到星期五期间访问 ACL 进行限制。 acl "uri=/"; deny (all) dayofweek="Mon,Tue,Web,Thu,Fri"; allow (all) dayofweek="Sat,Sun"; 这将拒绝星期一的请求。 |
6489913 |
无法禁用 SSL 会话高速缓存。 默认情况下,会话高速缓存处于启用状态。禁用会话高速缓存并通过 HTTPs 协议访问 URL 时,URL 不可用,服务器日志显示一条错误消息,指明没有 session-cache 无法配置 SSL。 解决方法 将 SSL 高速缓存大小和失效期降低为支持的最小值。 |
6510486 |
在内存中,htaccess 规则可能被破坏。 如果单个 .htaccess 文件具有五个以上的允许或拒绝规则,则在内存中,某些规则可能被破坏。如果发生此情况,可能会绕过某些规则。 解决方法 将单个 .htaccess 文件限制为五条规则或更少。 或者,使用 ACL 子系统而不是 htaccess 来控制对服务器资源的访问。有关设置 ACL 的信息,请参见《Sun Java System Web Server 7.0 Administrator’s Guide》。 |