Sun Java System Web Server 7.0 릴리스 노트

보안

다음 표에서는 Web Server의 보안 영역에 알려진 문제에 대해 설명합니다.

표 15 보안의 알려진 문제

문제 ID 

설명 

6433752 

ssl-check은 NSAPI 기반 플러그인에서 작동하지 않습니다.

"PathCheck fn="ssl-check" secret-keysize=128 bong file="xxxxx.yyy.html" 

정적 파일 요청의 경우 클라이언트의 secret-keysize가 서버에 지정된 크기보다 작고 bong 파일이 있을 경우 bong 파일은 다시 응답으로 보내집니다. 그러나 동적 컨텐트(예: JSP 파일)에 대한 요청은 bong 파일이 아니라 실제 요청된 객체(예: JSP 파일)를 반환합니다.

6421617 

제한된 그룹 옵션이 있는 서버 구문 분석된 HTML(ParseHTML) 및 .htaccess에서 문제가 있습니다.

shtml include 항목을 가지고 있으며 "restricted by group" 옵션이 활성화된 .htaccess를 통해 인증되도록 구성된 HTML 파일을 통해 구문 분석할 경우 인증이 성공합니다. 그룹 사용자가 인증될 경우 결과 페이지는 shtml include 항목을 가져오지 않습니다. 그러나 "restricted by user" 옵션이 있는 .htaccess 파일의 사용자에서는 잘 작동합니다.

 

6376901 

동일한 디렉토리의 자원에 대한 기본 및 다이제스트 기반 ACL을 지원하는 데 제한이 있습니다.

서버에서 다이제스트 및 기본 기반 ACL을 해당 doc 트리의 다른 부분에서 사용할 경우 동일한 디렉토리의 다른 파일이니 자원에서 두 ACL을 동시에 사용할 수 없습니다. 

6431287 

TLS_ECDH_RSA_*에는 RSA 키로 서명된 서버 인증서가 필요합니다.

TLS_ECDH_RSA_* 형태의 암호화 제품군의 경우 서버는 RSA 키를 사용하여 서명된 인증서가 있는 ECC 키 쌍을 가져야 합니다. 자체 서명된 인증서가 있는 이러한 암호화 제품군을 사용할 경우는 제외됩니다. 이 요구 사항은 이러한 암호화 제품군에만 적용되는 고유한 사항이며 버그가 아닙니다. 서버에서 이러한 암호화 제품군과 관련된 잘못된 구성을 감지 및 경고해야 하지만 현재는 그렇지 않습니다.

6467621 

"Sun Software PKCS#11 softtoken"을 사용할 경우 서버에 대한 요청이 실패합니다.

Solaris 10 libpkcs11을 사용하여 Web Server를 구성하는 방법에 대한 추가 정보는 다음 문서를 참조하십시오.

http://www.sun.com/bigadmin/features/articles/web_server_t1.html

http://www.sun.com/blueprints/browsedate.html#0306

6474584 

dayofweek에서 "*"이 옵션으로 사용되지 않습니다.

예를 들어, ACL을 다음과 같이 설정합니다.  

acl "uri=/"; 
deny (all) dayofweek="*"; 
allow (all) dayofweek="Sat,Sun";

이 프로그램에서는 토요일과 일요일을 제외한 모든 요일에 액세스를 제한하고 있습니다. 그러나 월요일에 ACL에 액세스할 수 있으므로 이 프로그램은 작동하지 않습니다. 

해결 방법

월요일부터 금요일까지 ACL에 대한 액세스를 제한하려면 ACL을 다음과 같이 설정합니다.  

acl "uri=/";
deny (all) dayofweek="Mon,Tue,Web,Thu,Fri";
allow (all) dayofweek="Sat,Sun";

이렇게 하면 월요일에 요청이 거부됩니다. 

6489913 

SSL 세션 캐시를 비활성화할 수 없습니다.

기본적으로 세션 캐시는 활성화됩니다. 세션 캐시가 비활성화되어 있고 HTTPs 프로토콜을 통해 URL에 액세스할 경우 URL을 통과하지 않으며 서버 로그에서는 session-cache 없이 SSL을 구성할 수 없다는 오류 메시지가 표시됩니다.

해결 방법

SSL 캐시 크기와 만료를 지원되는 최소값으로 줄입니다. 

6510486 

htaccess 규칙이 메모리에서 손상될 수 있습니다.

단일 .htaccess 파일에 6개 이상의 허용 또는 거부 규칙이 있는 경우 일부 규칙은 메모리에서 손상될 수 있습니다. 이 경우 일부 규칙이 무시될 수 있습니다.

해결 방법

단일 .htaccess 파일을 5개 이하의 규칙으로 제한합니다.

또는 htaccess 대신에 ACL 하위 시스템을 사용하여 서버 자원에 대한 액세스를 제어합니다. ACL을 설정하는 방법에 대한 자세한 내용은 Sun Java System Web Server 7.0 Administrator’s Guide를 참조하십시오.