IBM WebSphere Application Server 7.0 < Fix Pack 1

medium Nessus Plugin ID 35082

語系：

概要

遠端應用程式伺服器受到多個弱點影響。

說明

遠端主機上執行的似乎是 Fix Pack 1 之前的 IBM WebSphere Application Server 7.0。因此據稱其受到多個弱點影響。

- 在啟用效能監控基礎結構 (PMI) 的情況下，PerfServlet 程式碼會在檔案「systemout.log」和 ffdc 中寫入敏感資訊。(PK63886)
- Web 服務功能套件中的弱點可導致資訊因為「userNameToken」而洩漏。
(PK67282)
- 被基礎作業系統鎖定的使用者或可透過管理主控台進行驗證。(PK67909)

- Web 驗證選項「Authenticate when any URI is accessed」和「Use available authentication data when an unprotected URI is accessed」遭略過。沒有安全性限制的小程式不會通過驗證，且無法驗證具有「@」符號的使用者名稱。
(PK71826)

- 登入失敗時，JAX-WS 中的 WS-Security 不會從用戶端快取中移除 UsernameTokens。(PK72435)

- WSPolicy 會洩漏 SOAP 訊息中的密碼，即使 IDAssertion.isUsed 設為 true，且使用了簡易使用者名稱權杖原則集也一樣。(PK73573)

- 使用未加密的 TCP 路由傳送 SSL 流量。
(PK74777)

- 透過傳送特製要求，遠端攻擊者可能會取得需要授權的特定 JSP 頁面的存取權。
(PK75248)