IBM WebSphere Application Server < 6.1.0.25 多個弱點

medium Nessus Plugin ID 39450

語系：

概要

遠端應用程式伺服器受到多個弱點影響。

說明

遠端主機上執行的可能是 Fix Pack 25 之前的 IBM WebSphere Application Server 6.1。因此，據稱其受到多個弱點影響：

- 允許使用非標準的 HTTP 方法。(PK73246)

- 使用 SPNEGO 實作的單一登入 (SSO) 中存在錯誤，遠端攻擊者可以利用此錯誤繞過安全性限制。(PK77465)

-「wsadmin」受到一個安全性暴露弱點影響。(PK77495)

- 從 VMM 移轉後，未正確設定安全性旗標「isSecurityEnabled」。(PK78134)

- 在特定情況下，敏感資訊可能會出現在移轉追蹤內。(PK78134)

- Web 服務使用不安全的密碼混淆演算法可導致安全性比預期低，但前提是用戶端模組在 ibm-webservicesclient-bind.xmi 中指定密碼，且目標環境已啟用自訂密碼加密。(PK79275)

- 敏感資訊可能會出現在追蹤檔案內。
(PK80337)

- XML 數位簽章受到一個安全性問題影響。
(PK80596)

- 若 CSIv2 安全性是以身分宣告設定，可能會讓遠端攻擊者繞過安全性限制。(PK83097)

- IBM Stax XMLStreamWriter 可能會寫入錯誤的 XML 檔，因而容易受到 XML 模糊攻擊。
(PK84015)

- Configservice API 可顯示敏感資訊。
(PK84999)

- 缺少 SOAPAction 或 WS-Addressing Action 的傳入要求造成安全性繞過弱點。(PK72138)

解決方案

若使用的是 WebSphere Application Server，請套用 Fix Pack 25 (6.1.0.25) 或更新版本。

如果使用的是 Tivoli Directory Server 封裝的內嵌 WebSphere Application Server，請套用建議的最新版 eWAS Fix Pack。