Jackrabbit 2.8.0漏洞修复及WebDAV禁用方法咨询

1. 点击劫持风险缓解 #

该问题是因为Jackrabbit 2.8.x版本默认未配置防点击劫持的HTTP响应头导致，可通过两种方式修复：

• 容器层面全局配置：如果Jackrabbit部署在Tomcat、Jetty等Servlet容器中，直接在容器配置中添加全局响应头规则，设置X-Frame-Options: SAMEORIGIN（仅允许同域名嵌套页面）或X-Frame-Options: DENY（禁止所有场景嵌套），同时补充Content-Security-Policy: frame-ancestors 'self'做双重防护即可覆盖所有JSP页面的响应。
• 应用层面修改：如果不想调整容器配置，可直接编辑Jackrabbit部署目录下的WEB-INF/web.xml，新增响应头过滤器，匹配所有JSP和静态资源路径，添加上述安全头配置后重启服务即可生效。

2. HTTP切换为HTTPS配置 #

Jackrabbit本身不限制访问协议，协议配置由部署的容器决定，操作步骤如下：

• 提前准备SSL证书，可使用自签名证书或CA机构颁发的公开可信证书。
• 编辑部署容器的配置文件：Tomcat修改conf/server.xml，注释默认的8080端口HTTP连接器，启用HTTPS连接器并配置证书路径、访问密码等参数；如果使用Jackrabbit自带的standalone部署包，直接修改内置Jetty的配置文件启用HTTPS即可。
• 可选配置HTTP请求自动跳转HTTPS，避免用户手动输入HTTP地址时访问未加密通道。

3. 禁用WebDAV功能操作 #

如果业务场景不需要使用WebDAV能力，可直接关闭该功能从根源规避相关风险：

• 打开Jackrabbit部署目录下的WEB-INF/web.xml文件，找到所有名称包含webdav、dav关键字的Servlet配置，删除或注释对应的<servlet>和<servlet-mapping>节点。
• 可选删除WebDAV相关的JSP页面文件，避免残留访问入口。
• 重启Jackrabbit服务，验证默认WebDAV路径（通常为/webdav、/repository）访问返回404即代表禁用成功。

内容的提问来源于stack exchange，提问作者borgliu