IBM WebSphere Application Server < 6.1.0.23の複数の欠陥

high Nessus プラグイン ID 36161

Language:

概要

リモートアプリケーションサーバーは、複数の脆弱性の影響を受けます。

説明

Fix Pack 23 より前の IBM WebSphere Application Server 6.1 がリモートホストにインストールされているようです。このようなバージョンは、報告されているところによれば、以下の複数の脆弱性の影響を受けます。

- 攻撃者に有効な認証情報がある場合、認証されたセッションをハイジャックできる可能性があります。（PK66676）

- リモート攻撃者が、ibm_security_logoutサーブレットを使用して、ユーザーを任意のサイトにリダイレクトする可能性があります。（PK71126）

- 一定の条件下で、管理コンソールのユーザーセッションにアクセスできることがあります。（PK74966）

- APAR PK41002 が適用されている場合、JAX-RPC WS-Securityコンポーネントの脆弱性により、「UsernameToken」が不適切に検証されることがあります。（PK75992）

- IBM WebSphere Application Serverに付属しているサンプルアプリケーションは、クロスサイトスクリプティング脆弱性の影響を受けます。（PK76720）

- 管理コンソールはクロスサイトスクリプティング脆弱性の影響を受けます。（PK77505）

- 攻撃者が、任意のアプリケーション固有のwarファイルを読み取れる可能性があります。（PK81387）

ソリューション

WebSphere Application Serverを使用している場合は、Fix Pack 23（6.1.0.23）以降を適用してください。

あるいは、Tivoli Directory Serverに付属の埋め込み式WebSphere Application Serverを使用している場合は、推奨されている最新のeWAS Fix Packを適用してください。