IBM WebSphere Application Server 7.0 < Fix Pack 21の複数の脆弱性

medium Nessus プラグイン ID 58595

Language:

概要

リモートアプリケーションサーバーが複数の脆弱性の影響を受ける可能性があります。

説明

Fix Pack 21 より前の IBM WebSphere Application Server 7.0 がリモートホストで実行されているようです。このため、以下の脆弱性の影響を受ける可能性があります。

- 「Web 2.0 Messaging service」に関連する未特定のクロスサイトスクリプティング問題が存在します。（PM37840）

- WS-Security の使用時のセキュリティ露出により、JAX-WS を使用するアプリケーションでユーザーが権限を昇格することがあります。（PM43585/CVE-2011-1377）

- 「$WAS_HOME/systemapps/isclite.ear」および「$WAS_HOME/bin/client_ffdc」ディレクトリ内のファイルに安全でないファイル権限が適用されています。これらのアクセス権により、ローカルの攻撃者がこれらのディレクトリのファイルを読み取ることまたは書き込むことができる場合があります。この問題の影響を受けるのは、IBM i オペレーティングシステム上のアプリケーションのみであることに、注意してください。（PM49712）

- クラス「javax.naming.directory.AttributeInUseException」に存在するエラーにより、古いパスワードにも引き続きアクセス権を提供できることがあります。このエラーは、IBM Tivoli Directory Server を使ってパスワードを更新したときにトリガされます。（PM52049）

ソリューション

WebSphere Application Serverを使用している場合は、Fix Pack 21（7.0.0.21）以降を適用してください。

あるいは、Tivoli Directory Serverに付属の埋め込み式WebSphere Application Serverを使用している場合は、推奨されている最新のeWAS Fix Packを適用してください。