CVE:CVE-2008-6508
CNNVD:CNNVD-200903-364
Openfire（前称Wildfire）是IgniteRealtime社区的一款采用Java开发且基于XMPP（前称Jabber，即时通讯协议）的跨平台开源实时协作（RTC）服务器，它能够构建高效率的即时通信服务器，并支持上万并发用户数量。
在对openfire管理接口的认证中，Tomcat应用服务器中的过滤器org.jivesoftware.admin.AuthCheckFilter确保仅有通过认证的用户才可以访问管理接口，否则将会被重新定向到登录页面。Openfire中的一个错误可能导致无需管理用户凭据便访问内部功能。
部署描述符(web.xml)配置了一些AuthCheckFilter的exclude值：
<filter> 
 <filter-name>AuthCheck</filter-name>
 <filter-class>org.jivesoftware.admin.AuthCheckFilter</filter-class>
 <init-param>
 <param-name>excludes</param-name> 
 <param-value>login.jsp,index.jsp?logout=true,setup/index.jsp,
 setup/setup-,.gif,.png,error-serverdown.jsp</param-value>
 </init-param>
</filter>
如果请求URL包含有任意Exclude字符串的话，就可以绕过检查机制。
solution:Upgrade igniterealtime openfire to a higher version than 3.6.0a,2.6.0,2.6.1,2.6.2,3.0.0,3.0.1,3.1.0,3.1.1,3.2.0,3.2.1,3.2.2,3.2.3,3.2.4,3.3.0,3.3.2,3.3.3,3.4.0,3.4.1,3.4.3,3.4.4,3.4.5,3.5.0,3.5.1,3.5.2,3.6.0,and avoid the version (,3.6.0a],2.6.0,2.6.1,2.6.2,3.0.0,3.0.1,3.1.0,3.1.1,3.2.0,3.2.1,3.2.2,3.2.3,3.2.4,3.3.0,3.3.2,3.3.3,3.4.0,3.4.1,3.4.3,3.4.4,3.4.5,3.5.0,3.5.1,3.5.2,3.6.0