IBM WebSphere Application Server 7.0.0.x <= 7.0.0.45/8.0.0.x <= 8.0.0.15/8.5.x <= 8.5.5.19/9.0.x <= 9.0.5.6のXXE(6413709)

high Nessus プラグイン ID 146860

概要

リモートのWebアプリケーションサーバーは、脆弱性の影響を受けます。

説明

リモートホストで実行されているIBM WebSphere Application Serverのバージョンは、7.0.0.0~7.0.0.45、8.0.0.0~8.0.0.15、8.5.0.0~8.5.5.19、または9.0.0.0~9.0.5.6です。したがって、XMLデータの処理時にXML外部エンティティインジェクション(XXE)攻撃に対して脆弱です。リモートの攻撃者がこの脆弱性を悪用して、秘密情報を漏洩させたり、メモリリソースを消費したりする可能性があります。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

IBM WebSphere Application Server 8.5.5.20または9.0.5.7以降にアップグレードしてください。または、暫定修正に必要な最低限のFix Packにアップグレードしてから、暫定修正PH33228を適用してください。

参考資料

https://www.ibm.com/support/pages/node/6413709

プラグインの詳細

深刻度: High

ID: 146860

ファイル名: websphere_6413709.nasl

バージョン: 1.5

タイプ: combined

エージェント: windows, macosx, unix

ファミリー: Web Servers

公開日: 2021/2/25

更新日: 2021/6/3

サポートされているセンサー: Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 4.2

CVSS v2

リスクファクター: Medium

Base Score: 6.4

Temporal Score: 4.7

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:P

CVSS スコアのソース: CVE-2021-20353

CVSS v3

リスクファクター: High

Base Score: 8.2

Temporal Score: 7.1

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:ibm:websphere_application_server

必要な KB アイテム: installed_sw/IBM WebSphere Application Server

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2021/2/10

脆弱性公開日: 2021/2/9

参照情報

CVE: CVE-2021-20353

IAVA: 2021-A-0104-S