BEAのセキュリティアドバイザリについて - ヴァルカンの気まぐれ日記

id:ripjyrさめが纏めてくれているので、とりあえず重要度などはココを参照してください。(;^_^A ｱｾｱｾ…

BEA06-121.00ですが、概要として「Visitor tools do not respect all entitlements.」と3/20の段階ではなっていたのが、「The stopWebLogic.sh script echoes the system password on UNIX」に内容が変更されて今回公開となっていますね。
とりあえず、アドバイザリ公開用に採番したけど、条件や内容を検証し直す必要があったから前回（3/20）は公開しなかったみたいですね。

BEA04-131.00のアドミンアカウントのパスワードがリセットしちゃうと平文で残っちゃう問題ですが、組込LDAP内にアカウント情報を格納してるので、たぶん、そこに3DESで暗号化しないで記録しちゃうんじゃないかと予想してます。
このアドバイザリの対象はWLS8.1GAだけですが、過去において暗号化されずに平文でパスワード情報がconfig.xmlに記載されたりする問題がいくつかあったので、滅多に使わない様な機能は検証が不十分な可能性がありそうです。

ちなみにWLS9.xの管理コンソール（ブラウザからアクセスする管理画面）はWebLogic Portalベースに変更されています。
以前は、Java アプレット使ってたりしたけど、ポータルベースに変更されたことによってPortalに対するセキュリティアドバイザリがどう影響するのかが気になりますが、あまり、言及しているサイトが見つけられないのは、単に影響がほとんどないということなのか、それとも・・・
#あと、ポータルベースに変更されて動作が重くなった気がする・・・

BEA06-87.01ですが、WLS6.1用のパッチがCR196369_610sp7.jarからCR196369_610sp7_v3.jarに変更されています。
サイズ自体は小さくなっているのですが、コードの最適化をしたのかデグレードがあったのかデバッグ情報が含んでいたのか・・・何なんでしょうね？ちと、謎です。