6.1.0.27 より前のバージョンの IBM WebSphere Application Server の複数の脆弱性

medium Nessus プラグイン ID 41057

Language:

概要

リモートアプリケーションサーバーは複数の脆弱性の影響を受けます。

説明

Fix Pack 27 より前の IBM WebSphere Application Server 6.1 がリモートホストで実行されているようです。このようにこのバージョンは、報告されているところによれば、以下の複数の脆弱性の影響を受けます。

- WebSphere Application Server に付属している「Eclipse」ヘルプシステムは、クロスサイトスクリプティング脆弱性の影響を受けます。（PK78917）

- 特別に作り上げた HTTP HEAD メソッドを使って、セキュリティ制限をバイパスできることがあります。（PK83258）

- 1.8 より前のバージョンの z/OS 用 WebSphere Application Server に新たに配備されたアプリケーションが、安全でない権限が設定されたファイルシステムに保存されると、慎重な扱いが必要な情報が漏洩します。（PK83308）

- JAAS-J2C 認証データの構成に wsadmin スクリプトが使用されている場合、FFDC ログにパスワード値が表示されることがあります。（PK86137）

- Apache APR-util は、サービス拒否問題の影響を受けます。（PK88341）

- expat XML パーサーでのエラーのため、APR-util はサービス拒否問題の影響を受けます。（PK88342）

- Fix Packs 6.1.0.23 および 6.1.0.25 のエラーにより、サービス拒否攻撃をトリガできる可能性があります。（PK91709）

ソリューション

WebSphere Application Server を使用している場合は、Fix Pack 27（6.1.0.27）または以降を適用してください。

WebSphere Application Server を使用しておらず、Tivoli Directory Server に付属している組み込み WebSphere Application Server を使用している場合は、推奨されている最新の eWAS フィックスパックを適用してください。