CVE:CVE-2002-1861
CNNVD:CNNVD-200212-418
Sybase Enterprise Application Server、Oracle9i Application Server with OC4J、Orion Server、Macromedia/Allaire JRun、HP Application Server、Pramati Application Server和jo! Webserver多家厂商都实现Win32 servlet引擎机制。
这些Win32 servlet引擎在处理受限目录WEB-INF请求时不够正确，远程攻击者可以利用这个漏洞访问WEB-INF受限目录下的所有内容。
一般包含servlets、Java Server页面、HTML文档、图象等的WEB应用程序以如下方式安装以方便的移植到任意servlet支持的WEB服务器上：
index.html
blah.jsp
images/on.gif
images/off.gif
WEB-INF/web.xml
WEB-INF/lib/blah.jar
WEB-INF/classes/MyServlet.class
WEB-INF/classes/com/bigco/things/servlet/bigcoWebServlet.class
...
其中WEB-INF包含一些JAVA类文件和WEB应用程序的配置信息，所以此目录一般是限制访问的，不过多家厂商的servlet引擎对畸形URL请求处理不够正确，远程攻击者可以提交在WEB-INF包含'.'字符的URL请求，可导致服务器返回包含在受限目录下的任意文件内容，攻击者可能可以下载应用程序的.java和.class文件，或者访问其他配置文件，利用这些信息攻击者可以进一步对系统进行攻击。
solution:Upgrade sybase easerver to a higher version than 4.0,and avoid the version 4.0