CVE:CVE-2002-0565
CNNVD:CNNVD-200207-044
Oracle 9iAS(Application Server)的web服务使用的是Apache Web Server，它提供了多种应用环境，包括SOAP，PL/SQL，XSQL以及JSP。
Oracle 9iAS的OracleJSP环境中存在一个安全问题，允许远程攻击者获取翻译后的JSP页面的源代码。另外一个问题允许攻击者获取globals.jsa文件的内容。
当用户向运行OracleJSP的服务器请求一个JSP页面时，该JSP页面会首先被翻译，然后编译、执行，并将执行结果返回给客户端。在此过程中，三个临时文件会被创建。如果请求的JSP页面为"foo.jsp"，那三个临时文件就是：
_foo$__jsp_StaticText.class
_foo.class
_foo.java
它们会被保存在"/_pages"目录下。如果foo.jsp保存在子目录"bar"下，则上述临时文件会保存在"/_pages/_bar"下。由于翻译后的.java文件中包含JSP源代码，而这些文件又都可以直接通过WEB接口访问，攻击者就可能获取一些敏感信息，例如Oracle数据库的用户名和口令。
另外，如果JSP应用程序使用globals.jsa文件来保存全局设置，攻击者也可以直接访问该文件并获取其内容，如果其中包含一些敏感信息，也同样可能导致较严重的安全问题。
solution:Upgrade oracle application_server to a higher version than 1.0.2,and avoid the version 1.0.2; Upgrade oracle application_server_web_cache to a higher version than 2.0.0.0,2.0.0.1,2.0.0.2,2.0.0.3,and avoid the version 2.0.0.0,2.0.0.1,2.0.0.2,2.0.0.3; Upgrade oracle oracle9i to a higher version than 9.0,9.0.1,and avoid the version 9.0,9.0.1