CVE-2018-11787

En Apache Karaf en versiones anteriores a la 3.0.9, 4.0.9 y 4.1.1, cuando la característica webconsole está instalada en Karaf, está disponible en .../system/console y requiere autenticación para acceder a ella. Una parte de la consola es un shell/consola Gogo que otorga acceso a la consola de línea de comandos de Karaf mediante un navegador web y, cuando se navega hasta ella, está disponible en .../system/console/gogo. Intentar acceder directamente a esa URL requiere autenticación. Un paquete opcional empleado por algunas aplicaciones es Pax Web Extender Whiteboard, que forma parte de la característica pax-war y tal vez de otras. Cuando está instalada, la consola Gogo se vuelve disponible en otra URL../gogo/, y esa URL no es segura, lo que otorga acceso a la consola Karaf a usuarios no autenticados. Una mitigación a este problema es detener/desinstalar manualmente el paquete del plugin Gogo que está instalado con la funcionalidad webconsole, aunque esto elimina la consola de la aplicación en .../system/console, no solo del endpoint sin autenticar. También se podría detener/desinstalar Pax Web Extender Whiteboard, pero otros componentes/aplicaciones podrían necesitarlo y, por lo tanto, su funcionalidad se vería reducida/comprometida.