IBM WebSphere Application Server 7.0 before Fix Pack 1 appears to be running on the remote host.  As such, it is reportedly affected by multiple vulnerabilities. 

  - The PerfServlet code writes sensitive information in     the 'systemout.log' and ffdc files, provided     Performance Monitoring Infrastructure (PMI) is enabled.     (PK63886)  
  - A vulnerability in feature pack for web services could     lead to information disclosure due to 'userNameToken'.
    (PK67282)  
  - A user locked by the underlying OS may be able to     authenticate via the administrative console. (PK67909)

  - Web authentication options 'Authenticate when any URI is     accessed' and 'Use available authentication data when an     unprotected URI is accessed' are ignored. Servlets with     with no security constraints are not authenticated and     usernames with '@' symbol fail to authenticate.
    (PK71826)

  - WS-Security in JAX-WS does not remove UsernameTokens     from client cache on failed logins. (PK72435)

  - WSPolicy discloses password in SOAP messages even though     IDAssertion.isUsed is set to true, and a simple user     name token policyset is used. (PK73573)

  - SSL traffic is routed over unencrypted TCP routes.
    (PK74777)

  - By sending a specially crafted request, it may be     possible for a remote attacker to gain access to     certain JSP pages that require authorization.
    (PK75248)

Fix Pack 1 の前の IBM WebSphere Application Server 7.0 は、リモートホストで実行されているようです。それ自体、報告されているところによれば、複数の脆弱性の影響を受けます。 

  - PerfServlet コードは、パフォーマンスモニタリングインフラストラクチャ（PMI）が有効な場合に、機密情報を「systemout.log」および ffdc ファイルに書き込みます。 
    （PK63886）
 
  - Web サービスの Feature Pack の脆弱性により、「UserNameToken」による情報漏洩につながることがあります。
    （PK67282）
 
  - 基本 OS によってロックされたユーザーは、管理コンソールで認証できることがあります。（PK67909）

  - Web 認証オプション「任意の URI にアクセスすると認証」および「保護されていない URI にアクセスすると使用可能な認証データを使用」が無視されます。セキュリティ制約のないサーブレットは認証されず、「@」記号があるユーザー名は認証に失敗します。
    （PK71826）

  - JAX-WS の WS-Security は、ログインに失敗したクライアントキャッシュから UsernameTokens を削除しません。（PK72435）

  - WSPolicy は、IDAssertion.isUsed が true に設定されているにもかかわらず、SOAP メッセージでパスワードを漏洩し、単純なユーザー名トークンポリシーセットが使用されます。（PK73573）

  - SSL トラフィックは、暗号化されていない TCP ルートを介してルーティングされます。
    （PK74777）
  - 特別に作り上げられたリクエストを送信することにより、リモート攻撃者が、認証が必要な特定の JSP ページへのアクセス権を取得できることがあります。
    （PK75248）

遠端主機上執行的似乎是 Fix Pack 1 之前的 IBM WebSphere Application Server 7.0。因此據稱其受到多個弱點影響。 

  - 在啟用效能監控基礎結構 (PMI) 的情況下，PerfServlet 程式碼會在檔案「systemout.log」和 ffdc 中寫入敏感資訊。(PK63886)  
  - Web 服務功能套件中的弱點可導致資訊因為「userNameToken」而洩漏。
    (PK67282)  
  - 被基礎作業系統鎖定的使用者或可透過管理主控台進行驗證。(PK67909)

  - Web 驗證選項「Authenticate when any URI is accessed」和「Use available authentication data when an unprotected URI is accessed」遭略過。沒有安全性限制的小程式不會通過驗證，且無法驗證具有「@」符號的使用者名稱。
    (PK71826)

  - 登入失敗時，JAX-WS 中的 WS-Security 不會從用戶端快取中移除 UsernameTokens。(PK72435)

  - WSPolicy 會洩漏 SOAP 訊息中的密碼，即使 IDAssertion.isUsed 設為 true，且使用了簡易使用者名稱權杖原則集也一樣。(PK73573)

  - 使用未加密的 TCP 路由傳送 SSL 流量。
    (PK74777)

  - 透過傳送特製要求，遠端攻擊者可能會取得需要授權的特定 JSP 頁面的存取權。
    (PK75248)

远程主机上运行的似乎是 Fix Pack 1 之前的 IBM WebSphere Application Server 7.0。因此，有报告称其受到多种漏洞的影响。 

  - 如果已启用 Performance Monitoring Infrastructure (PMI)，PerfServlet 代码会在“systemout.log”和 ffdc 文件中写入敏感信息。(PK63886)  
  - Web 服务的功能包中存在一个漏洞，可导致信息泄露，这是“userNameToken”所致。
    (PK67282)  
  - 基础 OS 锁定的用户可通过管理控制台进行身份验证。(PK67909)

  - 忽略 Web 身份验证选项“访问任何 URI 时进行身份验证”和“访问未受保护的 URI 时使用可用身份验证数据”。无任何安全限制的 Servlet 不会获得身份验证，带“@”符号的用户名无法进行身份验证。
    (PK71826)

  - JAX-WS 中的 WS-Security 未在登录失败时从客户端缓存中删除 UsernameToken。(PK72435)

  - 即使将 IDAssertion.isUsed 设置为 true，并且使用简单用户名标记策略集，WSPolicy 也会在 SOAP 消息中泄露密码。(PK73573)

  - SSL 流量通过未加密的 TCP 路由进行传输。
    (PK74777)

  - 通过发送特别构建的请求，远程攻击者可获取需要授权的某些 JSP 页面的访问权限。
    (PK75248)

IBM WebSphere Application Server 7.0 before Fix Pack 1 appears to be running on the remote host.  Such versions are reportedly affected by multiple vulnerabilities.

  - A vulnerability in feature pack for web services could lead to information disclosure due to 'userNameToken' (PK67282).

  - A user locked by the underlying OS may be able to authenticate via the administrative console (PK67909).

  - Web authentication options 'Authenticate when any URI is accessed' and 'Use available authentication data when an unprotected URI is accessed' are ignored. Servlets with no security constraints are not authenticated and usernames with the '@' symbol fail to authenticate  (PK71826).

  - WS-Security in JAX-WS does not remove UsernameTokens from client cache on failed logins (PK72435).

  - SSL traffic is routed over unencrypted TCP routes (PK74777). 

ID	名前	製品	ファミリー	公開日	更新日	深刻度
35082	IBM WebSphere Application Server 7.0 < Fix Pack 1	Nessus	Web Servers	2008/12/10	2018/8/6	medium
35082	IBM WebSphere Application Server 7.0 < Fix Pack 1	Nessus	Web Servers	2008/12/10	2018/8/6	medium
35082	IBM WebSphere Application Server 7.0 < Fix Pack 1	Nessus	Web Servers	2008/12/10	2018/8/6	medium
35082	IBM WebSphere Application Server 7.0 < Fix Pack 1	Nessus	Web Servers	2008/12/10	2018/8/6	medium
4783	IBM WebSphere Application Server 7.0 < Fix Pack 1 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2008/12/10	2019/3/6	medium

検出

プラグインの検索

medium

medium

medium

medium

medium