IBM WebSphere Application Server < 6.1.0.23 多個缺陷

high Nessus Plugin ID 36161

語系：

概要

遠端應用程式伺服器受到多個弱點影響。

說明

遠端主機上安裝的似乎是 Fix Pack 23 之前的 IBM WebSphere Application Server 6.1。報告指出這些版本受到多個弱點的影響：

- 若攻擊者具有有效憑證，就可能會劫持經驗證的工作階段。(PK66676)

- 遠端攻擊者或可使用 ibm_security_logout servlet 將使用者重新導向至任意網站。(PK71126)

- 在特定條件下，攻擊者可存取管理主控台使用者工作階段。(PK74966)

- 若已套用 APAR PK41002，JAX-RPC WS-Security 元件中有一個弱點會錯誤驗證「UsernameToken」。(PK75992)

- IBM WebSphere Application Server 隨附的範例應用程式受到跨網站指令碼弱點影響。(PK76720)

- 管理主控台受到跨網站指令碼弱點影響。(PK77505)

- 攻擊者可讀取特定於應用程式的任意 WAR 檔案。(PK81387)

解決方案

若使用的是 WebSphere Application Server，請套用 Fix Pack 23 (6.1.0.23) 或更新版本。

如果使用的是 Tivoli Directory Server 封裝的內嵌 WebSphere Application Server，請套用建議的最新版 eWAS Fix Pack。