IBM WebSphere Application Server 9.x < 9.0.5.29 /Liberty 17.0.0.3 < 26.0.0.9 (7283567)
high Nessus プラグイン ID 334999
Language:
概要
リモートのウェブアプリケーションサーバーは、複数の脆弱性の影響を受けます。説明
リモートホストで実行されているIBM WebSphere Application Serverのバージョンは、7283567アドバイザリに記載されている複数の脆弱性の影響を受けます。- CVE-2026-50645 の修正が不完全なため、多数の添付ファイルヘッダーを含むメッセージを送信することで、Apache CXF で DoS 攻撃(サービス拒否攻撃)を行うことがまだ可能であることを意味します。ユーザーは、この問題を修正するバージョン 4.2.3 、 4.1.8 、 3.6.12 にアップグレードすることをお勧めします。(CVE-2026-64958)
- Apache CXF では、maxFormParameterCount 構成オプションを介して、JAX-RS メッセージ内のフォームパラメーター数に制限を設定することができます。ただし、デフォルトでは制限が設定されていないため、非常に多数のフォームパラメーターがあるリクエストを処理する際に、サービス拒否攻撃が引き起こされる可能性があります。ユーザーは、バージョン 4.2.3 、 4.1.8 、 3.6.12 にアップグレードすることをお勧めします。これらは、デフォルトの制限である 500 パラメーターを使用することでこの問題を修正します。(CVE-2026-57819)
- Apache CXF では、attachment-max-size を通じて最大添付ファイルサイズをコントロールすることができます。Apache CXF 4.2.3 、 4.1.8 、 3.6.12 より前は、このサイズにデフォルトは設定されていなかったため、ユーザーが明示的に制限を設定しない場合、DoS 攻撃(サービス拒否攻撃)が可能です。ユーザーは、Apache CXF 4.2.3 、 4.1.8 、または 50MB の添付ファイルサイズ制限を課すことでこの問題を修正する 3.6.12 に更新する必要があります。
(CVE-2026-54225)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
IBM WebSphere Application Server バージョンを 9.0.5.29、26.0.0.9 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 334999
ファイル名: websphere_7283567.nasl
バージョン: 1.2
タイプ: Combined
エージェント: windows, macosx, unix
ファミリー: Web Servers
公開日: 2026/8/13
更新日: 2026/8/21
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.76
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-64958
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:ibm:websphere_application_server
必要な KB アイテム: installed_sw/IBM WebSphere Application Server
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/8/12
脆弱性公開日: 2026/8/6
参照情報
CVE: CVE-2026-54225, CVE-2026-57819, CVE-2026-64958
IAVB: 2026-B-0224