遠端主機上執行的 WebSphere Application Server 版本為 8.0.x 版至 8.0.0.15 版、8.5.x 版的 8.5.5.20 之前版本或 9.0.x 版的 9.0.5.8 之前版本。因此，會受到 6453091 公告中所提及的多個弱點影響，包括下列項目：

  - 在 Apache HttpComponents HttpClient 4.3.6 之前版本中，http/conn/ssl/SSLConnectionSocketFactory.java 在 SSL 握手期間會忽略 http.socket.timeout 組態設定，遠程攻擊者可利用此弱點，透過不明向量造成拒絕服務 (HTTPS 調用掛起)。(CVE-2015-5262)

  - 在 Apache HttpComponents HttpClient 4.3.5 之前版本和 HttpAsyncClient 4.0.2 之前版本中，org.apache.http.conn.ssl.AbstractVerifier 未正確驗證伺服器的主機名稱是否與 X.509 憑證中主體的一般名稱 (CN) 或 subjectAltName 欄位中的網域名稱相匹配，這令攔截式攻擊者可以透過憑證辨別名稱 (DN) 欄位中的 CN= 字串偽造 SSL 伺服器，O 欄位中的 foo,CN=www.apache.org 字符串即為一例。(CVE-2014-3577)

  - 在 Apache Commons HttpClient 4.2.3 之前版本中，http/conn/ssl/AbstractVerifier.java 未正確驗證伺服器的主機名稱是否與 X.509 憑證中主體的一般名稱 (CN) 或 subjectAltName 欄位中的網域名稱相匹配，這令攔截式攻擊者可以透過憑證 (其主體在非 CN 欄位中指定一般名稱) 偽造 SSL 伺服器。注意：此問題之所以存在，是因為 CVE-2012-5783 的修正不完整。(CVE-2012-6153)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

IBM WebSphere Application Server 8.0.x <= 8.0.0.15 / 8.5.x < 8.5.5.20 / 9.0.x < 9.0.5.8 多個弱點

high Nessus Plugin ID 149787

找不到依附元件