IBM WebSphere Application Server 7.0 < Fix Pack 19の複数の脆弱性

medium Nessus プラグイン ID 56229

Language:

概要

リモートアプリケーションサーバーが複数の脆弱性の影響を受ける可能性があります。

説明

Fix Pack 19 より前の IBM WebSphere Application Server 7.0 がリモートホストで実行されているようです。このため、以下の脆弱性の影響を受ける可能性があります。

- 「logoutExitPage」パラメーターに関連した、オープンリダイレクト脆弱性があります。これにより、リモートの攻撃者が、ユーザーをトリックにかけて、意図しない URL をリクエストさせることができる場合があります。（PM35701）

- 管理コンソールが、未特定の状況下でスタックトレースを表示し、潜在的な機密情報をローカルユーザーに漏洩することがあります。
（PM36620）

- Installation Verification Tool（IVT）サーブレットが、任意の HTML コードおよびスクリプトコードのユーザー指定入力を適切にサニタイズしないことにより、クロスサイトスクリプティング攻撃が発生する可能性があります。（PM40733）

- バンドルされている OpenSAML ライブラリに、トークン検証エラーがあります。このエラーにより、攻撃者が、SOAP メッセージを介した XML 署名ラッピング攻撃でセキュリティコントロールをバイパスできることがあります。（PM43254）

- 「help」サーブレットの未特定のパラメーターを介して、ディレクトリトラバーサル攻撃を実行できます。（PM45322）

ソリューション

WebSphere Application Serverを使用している場合は、Fix Pack 19（7.0.0.19）以降を適用してください。

あるいは、Tivoli Directory Serverに付属の埋め込み式WebSphere Application Serverを使用している場合は、推奨されている最新のeWAS Fix Packを適用してください。