IBM WebSphere eXtreme Scale 8.6.2.0 < 8.6.2.2 (7282872)
high Nessus プラグイン ID 333386
Language:
概要
リモートのウェブアプリケーションサーバーは、複数の脆弱性の影響を受けます説明
リモートホストにインストールされた IBM WebSphere eXtreme Scale のバージョンは、8.6.2.2 IBM より前です。したがって、7282872アドバイザリに記載されている複数の脆弱性の影響を受けます。- 4.17.21 より前のバージョンの Lodash は、テンプレート関数を介したコマンドインジェクションに対して脆弱です。
(CVE-2021-23337)
- 影響: CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) の修正では、_.template の変数 option に対する検証が追加されましたが、options.imports のキー名には同じ検証が適用されていませんでした。
両方のパスは同じ Function() コンストラクターシンクにフローします。アプリケーションが信頼できない入力を options.imports のキー名として渡す場合、攻撃者はテンプレートのコンパイル時に任意コードを実行するデフォルトパラメーター式を注入する可能性があります。さらに、_.template は assignInWith を使用して imports をマージし、for..in によって継承されたプロパティを列挙します。Object.prototype が他のベクトルによって汚染された場合、汚染されたキーは imports オブジェクトにコピーされ、Function() に渡されます。パッチ: ユーザーはバージョン 4.18.0 にアップグレードする必要があります。回避策: 信頼できない入力を options.imports のキー名として渡さないでください。開発者が制御する静的なキー名のみを使用してください。(CVE-2026-4800)
- 影響:Lodash バージョン 4.17.23 以前は、_.unset および
_.omit 関数。(CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg)の修正は、文字列のキーメンバーに対してのみ防御するため、攻撃者は配列でラップされたパスセグメントを渡すことでチェックをバイパスできます。これにより、Object.prototype、Number.prototype、String.prototype などの組み込みプロトタイプからプロパティを削除できます。この問題により、プロトタイプのプロパティの削除は許可されますが、元の動作を上書きすることはできません。パッチ:この問題は 4.18.0 でパッチ適用されています。回避策:なし。パッチを適用したバージョンにアップグレードしてください。(CVE-2026-2950)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
詳細については、ベンダーのアドバイザリを参照してください。参考資料
プラグインの詳細
深刻度: High
ID: 333386
ファイル名: ibm_websphere_xs_7282872.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: Web Servers
公開日: 2026/8/8
更新日: 2026/8/8
設定: パラノイドモードの有効化
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.7
パーセンタイル: 99.06
CVSS v2
リスクファクター: Medium
基本値: 6.5
現状値: 5.1
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
CVSS スコアのソース: CVE-2021-23337
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2026-4800
CVSS v4
リスクファクター: High
Base Score: 7.9
Threat Score: 6.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:H/SI:H/SA:H
CVSS スコアのソース: CVE-2025-13465
脆弱性情報
CPE: cpe:/a:ibm:websphere_extreme_scale
必要な KB アイテム: installed_sw/IBM WebSphere eXtreme Scale, Settings/ParanoidReport
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/8/7
脆弱性公開日: 2021/2/15
参照情報
CVE: CVE-2021-23337, CVE-2025-13465, CVE-2026-2950, CVE-2026-33937, CVE-2026-33939, CVE-2026-4800, CVE-2026-9002