IBM WebSphere Application Server 8.0 < Fix Pack 9 の複数の脆弱性

high Nessus プラグイン ID 76995

Language:

概要

リモートアプリケーションサーバーは、複数の脆弱性の影響を受けます。

説明

Fix Pack 9 より前の IBM WebSphere Application Server 8.0 がリモートホストで実行されています。したがって、次の脆弱性の影響を受けます：

- ユーザー入力が不適切に検証される、管理コンソール内にクロスサイトスクリプティングの欠陥が存在しています。これにより、リモートの攻撃者は特別に細工されたリクエストを使用し、ブラウザ/サーバーの信頼関係内で任意のスクリプトコードを実行する可能性があります。
（CVE-2013-6323、PI04777 and PI04880）

- SSL/TLS ハンドシェイクの際に SSLｖ2 の再開を処理するとき、グローバルセキュリティキット内に、サービス拒否の欠陥が存在しています。これにより、リモートの攻撃者はプログラムをクラッシュさせることができます。（CVE-2013-6329、PI05309）

- アドオンを使用する際の mod_dav モジュールを含む HTTP サーバーに、バッファオーバーフローの欠陥が存在しています。これにより、リモートの攻撃者はバッファオーバーフローおよびサービス拒否を引き起こすことができます。（CVE-2013-6438、PI09345）

- ユーザー入力が適切に検証されていない OAuth 内に、クロスサイトスクリプティングの欠陥が存在しています。これにより、リモートの攻撃者は特別に細工されたリクエストを使用し、ブラウザ/サーバーの信頼関係内で任意のスクリプトコードを実行する可能性があります。（CVE-2013-6738、PI05661）

- SSL/TLS 接続を初期化する段階で、X.509 証明書チェーンを処理する際に、グローバルセキュリティキット内にサービス拒否の欠陥が存在します。リモートの攻撃者は悪意のある証明書チェーンを使用して、グローバルセキュリティキットをハングさせることでクライアントやサーバーをクラッシュさせることができます。（CVE-2013-6747、PI09443）

- マルチパートリクエストの Content-Type ヘッダーを解析する際の Apache Commons FileUpload 内に、サービス拒否の欠陥が存在しています。リモートの攻撃者は特別に細工されたリクエストを使用してプログラムをクラッシュできます。
（CVE-2014-0050、PI12648、PI12926、PI13162）

- 楕円曲線デジタル署名アルゴリズムの実装に関連する欠陥が存在するため、悪意のあるプロセスが ECDSA ノンスを回復させる可能性があります。
（CVE-2014-0076、PI19700）

- 値の割り当てられていないクッキーを記録する際の「mod_log_config」に、サービス拒否の欠陥が存在しています。リモートの攻撃者は、特別に細工されたリクエストを使用してプログラムをクラッシュさせることができます。（CVE-2014-0098、PI13028）

- 「PKCS#1」パディング解除による「sun.security.rsa.RSAPadding」に、情報漏洩の欠陥が存在しています。
これにより、リモートの攻撃者は、暗号化によって保護されることが意図されたタイミング情報を取得できます。
（CVE-2014-0453）

-「com.sun.jndi.dns.DnsClient」を用いた場合、クエリ ID のランダム化に関連する欠陥が存在します。これにより、リモートの攻撃者が、なりすまし攻撃を実行する可能性があります。
（CVE-2014-0460）

- Full プロファイルおよび Liberty プロファイルに欠陥が存在します。リモートの攻撃者は、特別に細工されたリクエストを使用することで、任意のファイルへのアクセス権を取得する可能性があります。（CVE-2014-0823、PI05324）

- 管理コンソール内に情報漏洩の欠陥が存在します。これにより、ネットワークの攻撃者は、特別に細工されたリクエストを使用することで、特権的にアクセスできるようになる可能性があります。（CVE-2014-0857、PI07808）

- サービス拒否の欠陥が、失敗した POST リクエストを再試行するように設定されているサーバーの Web サーバープラグインに存在します。これにより、リモートの攻撃者はアプリケーションをクラッシュさせることができます。
（CVE-2014-0859、PI08892）

- プロキシおよび ODR サーバーに情報漏洩の欠陥が存在します。これにより、リモートの攻撃者は特別に細工されたリクエストを使用して、機密情報に対するアクセスを取得する可能性があります。（CVE-2014-0891、PI09786）

- リバースプロキシコンポーネントを持つ Web の IBM セキュリティアクセスマネージャー内に、サービス拒否の欠陥が存在しています。
これにより、リモートの攻撃者は特別に細工された TLS トラフィックを使用して、システム上のアプリケーションを反応不可能にすることができます。（CVE-2014-0963、PI17025）

- SOAP 応答を処理する際に、情報漏洩の欠陥が存在しています。これにより、リモートの攻撃者は機密情報に対するアクセスを取得する可能性があります。
（CVE-2014-0965、PI11434）

- 情報漏洩の欠陥が存在します。リモートの攻撃者は特別に細工された URL を使用して、機密情報に対するアクセスを取得する可能性があります。
（CVE-2014-3022、PI09594）