The remote host is running IBM WebSphere Application Server version 8.0 prior to Fix Pack 10. It is, therefore, affected by the following vulnerabilities :

  - Multiple errors exist related to the included IBM HTTP     server that can allow remote code execution or denial     of service. (CVE-2013-5704, CVE-2014-0118,     CVE-2014-0226, CVE-2014-0231 / PI22070)

  - An error exists related to the implementation of the     Elliptic Curve Digital Signature Algorithm (ECDSA) that     could allow nonce disclosure via the 'FLUSH+RELOAD'     cache side-channel attack. (CVE-2014-0076 / PI19700)

  - An unspecified error exists related to HTTP headers that     can allow information disclosure. (CVE-2014-3021 /     PI08268)

  - An unspecified error caused by improper account creation     with the Virtual Member Manager SPI Admin Task     'addFileRegistryAccount' can allow remote attackers to     bypass security restrictions. (CVE-2014-3070 / PI16765)

  - An information disclosure vulnerability exists due to a     failure to restrict access to resources located within     the web application. A remote attacker can exploit this     to obtain configuration data and other sensitive     information. (CVE-2014-3083 / PI17768, PI30579 )

  - A man-in-the-middle (MitM) information disclosure     vulnerability known as POODLE. The vulnerability is due     to the way SSL 3.0 handles padding bytes when decrypting     messages encrypted using block ciphers in cipher block     chaining (CBC) mode. MitM attackers can decrypt a     selected byte of a cipher text in as few as 256 tries if     they are able to force a victim application to     repeatedly send the same data over newly created SSL 3.0     connections. (CVE-2014-3566 / PI28435, PI28436, PI28437)

  - An unspecified flaw in the Load Balancer for IPv4     Dispatcher component allows a remote attacker to cause     a denial of service. (CVE-2014-4764 / PI21189)

  - An unspecified input validation error exists related to     the administrative console that can allow cross-site     scripting and cross-site request forgery attacks.
    (CVE-2014-4770, CVE-2014-4816 / PI23055)

  - An error exists related to the Communications Enabled     Applications (CEA) service that can allow XML External     Entity Injection (XXE) attacks leading to information     disclosure. This only occurs if CEA is enabled, and by     default this is disabled. (CVE-2014-6166 / PI25310)

  - An input validation error exists related to session     input using URL rewriting that can allow cross-site     scripting attacks. (CVE-2014-6167 / PI23819)

  - An error exists related to the administrative console     that can allow click-jacking attacks. (CVE-2014-6174 /     PI27152)

The IBM WebSphere Application Server running on the remote host is version 8.5 prior to Fix Pack 8.5.5.4. It is, therefore, affected by the following vulnerabilities :

  - Multiple errors exist related to the included IBM HTTP     server that can allow remote code execution or denial     of service. (CVE-2013-5704, CVE-2014-0118,     CVE-2014-0226, CVE-2014-0231 / PI22070)

  - An unspecified error exists related to HTTP headers     that can allow information disclosure. (CVE-2014-3021     / PI08268)

  - An error exists related to the way SSL 3.0 handles     padding bytes when decrypting messages encrypted using     block ciphers in cipher block chaining (CBC) mode. A     man-in-the-middle attacker can decrypt a selected byte     of a cipher text in as few as 256 tries if they are able     to force a victim application to repeatedly send the     same data over newly created SSL 3.0 connections. This     is also known as the 'POODLE' issue. (CVE-2014-3566 /     PI28435, PI28436, PI28437)

  - An unspecified input validation errors exist related to     the administrative console that can allow cross-site     scripting and cross-site request forgery attacks.
    (CVE-2014-4770, CVE-2014-4816 / PI23055)

  - An unspecified error exists that can allow OpenID and     OpenID Connect cookies to be spoofed, allowing     information disclosure. (CVE-2014-6164 / PI23430)

  - An error exists related to the Communications Enabled     Applications (CEA) service that can allow XML External     Entity Injection (XXE) attacks leading to information     disclosure. This only occurs if CEA is enabled. By     default this is disabled. (CVE-2014-6166 / PI25310)

  - An input validation error exists related to session     input using URL rewriting that can allow cross-site     scripting attacks. (CVE-2014-6167 / PI23819)

  - An error exists related to the administrative console     that can allow 'click-jacking' attacks. (CVE-2014-6174 /     PI27152)

  - An error exists related to deployment descriptor     security constraints and ServletSecurity annotations on     a servlet that can allow privilege escalation. Note that     this issue only affects the 'Liberty Profile'.
    (CVE-2014-8890 / PI29911)

The remote host is running a version of IBM WebSphere Application Server 7.0 prior to Fix Pack 35. It is, therefore, affected by the following vulnerabilities :

  - Multiple errors exist related to the included IBM HTTP     server that could allow remote code execution or denial     of service. (CVE-2013-5704, CVE-2014-0118,     CVE-2014-0226, CVE-2014-0231 / PI22070)

  - An error exists related to HTTP header handling that     could allow the disclosure of sensitive information.
    (CVE-2014-3021 / PI08268)

  - An unspecified error exists that could allow the     disclosure of sensitive information.
    (CVE-2014-3083 / PI17768)

  - An unspecified input-validation errors exist related to     the 'Admin Console' that could allow cross-site     scripting and cross-site request forgery attacks.
    (CVE-2014-4770, CVE-2014-4816 / PI23055)

リモートホストは、Fix Pack 10 より前の IBM WebSphere Application Server バージョン 8.0 を実行しています。したがって、次の脆弱性の影響を受けます：

- 付属の IBM HTTP サーバーに関連する多数のエラーが存在します。このため、リモートコードの実行やサービス拒否が可能な場合があります。（CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231/PI22070）

- 楕円曲線デジタル署名アルゴリズム（ECDSA）の実装に関連してエラーが存在し、これにより、「FLUSH+RELOAD」キャッシュサイドチャネル攻撃を介して、 nonce を漏洩できることがあります。（CVE-2014-0076/ PI19700）

- HTTP ヘッダーに関連する詳細不明なエラーが存在するため、情報漏洩が可能となる場合があります。（CVE-2014-3021/ PI08268）

- Virtual Member Manager SPI Admin Task「addFileRegistryAccount」で不適切なアカウントを作成することで引き起こされる詳細不明なエラーにより、リモートの攻撃者が、セキュリティ制限をバイパスできる可能性があります。（CVE-2014-3070/ PI16765）

- Web アプリケーション内に位置するリソースへのアクセスを制限できないことによる、情報漏洩の脆弱性が存在します。リモートの攻撃者がこれを悪用して、構成データやその他の機密情報を取得する可能性があります。（CVE-2014-3083/PI17768、PI30579）

- POODLE として知られている中間者（MitM）情報漏洩の脆弱性。この脆弱性の原因は、暗号ブロック連鎖（CBC）モードでブロック暗号を使用して暗号化されたメッセージの復号を行う際の、SSL 3.0 のパディングバイトの処理方法によるものです。新たに作成した SSL 3.0 接続を通じて被害を受けるアプリケーションに同じデータを繰り返し送信させることができる場合、MitM 攻撃者は、暗号テキスト内の選択したバイトを、わずか 256 回の試行で復号できます。（CVE-2014-3566/PI28435、PI28436、PI28437）

- Load Balancer for IPv4 Dispatcher コンポーネントの詳細不明な欠陥により、リモートの攻撃者が、サービス拒否を引き起こす可能性があります。（CVE-2014-4764/ PI21189）

- 管理コンソールに関連する詳細不明な入力検証エラーが存在し、クロスサイトスクリプティングとクロスサイトリクエスト偽造の攻撃が発生する可能性があります。
 （CVE-2014-4770、CVE-2014-4816/PI23055）

- Communications Enabled Applications（CEA）サービスに関連するエラーが存在するため、XML 外部エンティティインジェクション（XXE）攻撃が可能となる場合があり、情報漏洩を引き起こします。これが発生するのは CEA が有効の場合のみで、これはデフォルトで無効になっています。（CVE-2014-6166/ PI25310）

- URL の再書き込みを使用しているセッション入力に関連する入力検証エラーが存在するため、クロスサイトスクリプティング攻撃が可能となる場合があります。（CVE-2014-6167/ PI23819）

- クリックジャッキング攻撃を可能にする可能性がある管理コンソールに関連するエラーが存在します。（CVE-2014-6174/ PI27152）

リモートホストで実行されている IBM WebSphere Application Server のバージョンは、Fix Pack 8.5.5.4 より前の 8.5 です。したがって、次の脆弱性の影響を受けます：

- 付属の IBM HTTP サーバーに関連する多数のエラーが存在します。このため、リモートコードの実行やサービス拒否が可能な場合があります。（CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231/PI22070）

- HTTP ヘッダーに関連する詳細不明なエラーが存在するため、情報漏洩が可能となる場合があります。（CVE-2014-3021/ PI08268）

- 暗号ブロック連鎖（CBC）モードのブロック暗号を使って暗号化されたメッセージを復号するときに、SSL 3.0 が適切にパディングバイトを処理する方法に関連するエラーが存在します。新たに作成した SSL 3.0 接続を通じて被害を受けるアプリケーションに同じデータを繰り返し送信させることができる場合、中間攻撃者は、暗号テキスト内の選択したバイトをわずか 256 回の試行で復号できます。これは「POODLE」問題としても知られています。（CVE-2014-3566/PI28435、PI28436、PI28437）

- 管理コンソールに関連する詳細不明な入力検証エラーが存在し、クロスサイトスクリプティングとクロスサイトリクエスト偽造の攻撃が発生する可能性があります。
 （CVE-2014-4770、CVE-2014-4816/PI23055）

- OpenID および OpenID Connect のクッキーを偽装する可能性がある詳細不明なエラーが存在し、情報漏洩が引き起こされる可能性があります。（CVE-2014-6164/ PI23430）

- Communications Enabled Applications（CEA）サービスに関連するエラーが存在するため、XML 外部エンティティインジェクション（XXE）攻撃が可能となる場合があり、情報漏洩を引き起こします。これは CEA が有効の場合にのみ発生します。デフォルトでは、これは無効になっています。（CVE-2014-6166/ PI25310）

- URL の再書き込みを使用しているセッション入力に関連する入力検証エラーが存在するため、クロスサイトスクリプティング攻撃が可能となる場合があります。（CVE-2014-6167/ PI23819）

- 管理コンソールに関連するエラーが存在するため、「click-jacking」攻撃が可能となる場合があります。（CVE-2014-6174/ PI27152）

- 展開記述子セキュリティの制約とサーブレットの ServletSecurity 注釈に関連するエラーが存在します。これにより、権限昇格が発生する可能性があります。注意：この問題の影響を受けるのは、「Liberty Profile」のみです。
 （CVE-2014-8890/ PI29911）

リモートホストは、Fix Pack 35 より前のバージョンの IBM WebSphere Application Server 7.0 を実行しています。したがって、次の脆弱性の影響を受けます：

- 付属の IBM HTTP サーバーに関連する多数のエラーが存在します。これにより、リモートコードの実行やサービス拒否が可能な可能性があります。（CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231/PI22070）

- HTTP ヘッダー処理に関連する、機密情報の漏洩を可能にする可能性があるエラーが存在します。
 （CVE-2014-3021/ PI08268）

- 詳細不明なエラーが存在し、これにより、機密情報を漏洩できる可能性があります。
 （CVE-2014-3083/ PI17768）

- 「Admin Console」に関連する詳細不明な入力検証エラーが存在し、これにより、クロスサイトスクリプティングとクロスサイトリクエスト偽造の攻撃が発生する可能性があります。
 （CVE-2014-4770、CVE-2014-4816/PI23055）

正在远程主机上运行的 IBM WebSphere Application Server 是低于 Fix Pack 8.5.5.4 的 8.5 版本。因此，它受到以下漏洞的影响：

- 存在多种与随附的 IBM HTTP 服务器相关的错误，这些错误可允许远程代码执行或拒绝服务。（CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231 / PI22070）

- 存在与 HTTP 标头相关的不明错误，可造成信息泄露。(CVE-2014-3021/ PI08268)

- 当解密使用密码分组链接 (CBC) 模式下分组加密方式加密的信息，存在关于 SSL 3.0 处理填充字节方式的错误。如果中间人攻击者能够强制受害的应用程序通过新创建的 SSL 3.0 连接不断地发送同样的数据，就能将选中的加密文本字节在 256 次内解密。这也称为“POODLE”问题。（CVE-2014-3566 / PI28435、PI28436、PI28437）

- 存在与管理控制台相关的不明输入验证错误，可允许跨站脚本和跨站请求伪造攻击。
 （CVE-2014-4770、CVE-2014-4816 / PI23055）

- 存在不明错误，可允许假冒 OpenID 和 OpenID Connect Cookie，从而允许信息泄露。(CVE-2014-6164/ PI23430)

- 存在与 Communications Enabled Applications (CEA) 服务相关的错误，可导致造成信息泄露的 XML 外部实体注入 (XXE) 攻击。这仅在启用了 CEA 的情况下发生。默认情况下，此服务被禁用。(CVE-2014-6166/ PI25310)

- 存在与使用 URL 重写的会话输入相关的输入验证错误，可导致跨站脚本攻击。(CVE-2014-6167/ PI23819)

- 存在与管理控制台相关的错误，可导致“点击劫持”攻击。(CVE-2014-6174/ PI27152)

- 存在与部署描述符安全限制和 servlet 上的 ServletSecurity 批注相关的错误，可允许权限升级。请注意，此问题仅影响“自由配置文件”。
 (CVE-2014-8890/ PI29911)

遠端主機上執行的 IBM WebSphere Application Server 版本是比 Fix Pack 8.5.5.4 舊的 8.5 版。因此受到以下弱點影響：

- 存在多個與隨附的 IBM HTTP Server 相關的錯誤，可能允許遠端程式碼執行或拒絕服務。(CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231 / PI22070)

- 存在一個與 HTTP 標頭相關的不明錯誤，可允許資訊洩漏。(CVE-2014-3021 / PI08268)

- 在加密區塊鏈結 (CBC) 模式下解密使用區塊編碼器所加密的訊息時，存在與 SSL 3.0 處理填補位元組方式相關的錯誤。攔截式攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。此錯誤亦稱為「POODLE」問題。(CVE-2014-3566、PI28435、PI28436、PI28437)

- 存在一個與管理主控台相關的不明輸入驗證錯誤，允許跨網站指令碼和跨網站要求偽造攻擊。
 (CVE-2014-4770、CVE-2014-4816 / PI23055)

- 存在一個不明錯誤，允許偽造 OpenID 和 OpenID Connect Cookie，從而造成資訊洩漏。(CVE-2014-6164 / PI23430)

- 存在一個與「啟用通訊的應用程式」(CEA) 服務相關的錯誤，可允許 XML 外部實體插入 (XXE) 攻擊，導致資訊洩漏。只有在 CEA 已啟用時才會發生。目前預設為停用。(CVE-2014-6166 / PI25310)

- 存在一個輸入驗證錯誤，與使用 URL 重寫的工作階段輸入相關，可能會導致跨網站指令碼攻擊。(CVE-2014-6167 / PI23819)

- 存在一個與管理主控台相關的錯誤，可能會允許「點擊劫持」攻擊。(CVE-2014-6174 / PI27152)

- 存在一個與 servlet 中的部署描述符號安全性限制和 ServletSecurity 註解相關的錯誤，其允許權限提升。請注意，此問題只會影響「Liberty 設定檔」。
 (CVE-2014-8890 / PI29911)

远程主机正在运行的 IBM WebSphere Application Server 8.0 的版本低于 Fix Pack 10 。因此，它受到以下漏洞的影响：

- 存在多种与随附的 IBM HTTP 服务器相关的错误，这些错误可允许远程代码执行或拒绝服务。（CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231 / PI22070）

- 存在与椭圆曲线数字签名算法 (ECDSA) 实现相关的错误，可通过“FLUSH+RELOAD”缓存边信道攻击导致泄露临时信息。(CVE-2014-0076/ PI19700)

- 存在与 HTTP 标头相关的不明错误，可造成信息泄露。(CVE-2014-3021/ PI08268)

- 由通过 Virtual Member Manager SPI Admin Task“addFileRegistryAccount”进行的错误帐户创建造成的不明错误可允许远程攻击者绕过安全限制。(CVE-2014-3070/ PI16765)

- 由于无法限制对位于 Web 应用程序内的资源的访问，存在一个信息泄露漏洞。远程攻击者可利用此漏洞来获取配置数据和其他敏感信息。（CVE-2014-3083 / PI17768、PI30579）

- 称为 POODLE 的中间人 (MitM) 信息泄露漏洞。该漏洞是由于 SSL 3.0 解密使用密码块链接 (CBC) 模式中的块密码进行加密的消息时采用的处理填充字节的方式所引起。如果 MitM 攻击者能够强制受害的应用程序通过新创建的 SSL 3.0 连接不断发送同样的数据，就能将选中的加密文本字节在 256 次内解密。（CVE-2014-3566 / PI28435、PI28436、PI28437）

- Load Balancer for IPv4 Dispatcher 组件中的一个不明缺陷允许远程攻击者造成拒绝服务。(CVE-2014-4764/ PI21189)

- 存在与管理控制台相关的不明输入验证错误，可允许跨站脚本和跨站请求伪造攻击。
 （CVE-2014-4770、CVE-2014-4816 / PI23055）

- 存在与 Communications Enabled Applications (CEA) 服务相关的错误，可导致造成信息泄露的 XML 外部实体注入 (XXE) 攻击。此问题仅在启用了 CEA 时发生，其在默认情况下处于禁用状态。(CVE-2014-6166/ PI25310)

- 存在与使用 URL 重写的会话输入相关的输入验证错误，可导致跨站脚本攻击。(CVE-2014-6167/ PI23819)

- 存在与管理控制台相关的错误，可导致“点击劫持”攻击。(CVE-2014-6174/ PI27152)

遠端主機目前執行的 IBM WebSphere Application Server 是比 Fix Pack 10 舊的 8.0 版。因此受到以下弱點影響：

- 存在多個與隨附的 IBM HTTP Server 相關的錯誤，可能允許遠端程式碼執行或拒絕服務。(CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231 / PI22070)

- 存在與橢圓曲線數位簽章演算法 (ECDSA) 實作有關的錯誤，可允許透過‘FLUSH+RELOAD’快取跨頻道攻擊暫時洩漏。(CVE-2014-0076 / PI19700)

- 存在一個與 HTTP 標頭相關的不明錯誤，可允許資訊洩漏。(CVE-2014-3021 / PI08268)

- 存在一個使用虛擬成員管理員 SPI 系統管理工作 'addFileRegistryAccount' 不當建立帳戶而導致的不明錯誤，其允許遠端攻擊者繞過安全性限制。(CVE-2014-3070 / PI16765)

- 存在一個因未限制 web 應用程式內的資源存取權而導致的資訊洩漏弱點。遠端攻擊者可利用此弱點，取得組態資料及其他敏感資訊。(CVE-2014-3083 / PI17768、PI30579 )

- 一個稱為 POODLE 的攔截式 (MitM) 資訊洩漏弱點。此弱點是因為在加密區塊鏈結 (CBC) 模式下，解密使用區塊加密法加密的訊息時，SSL 3.0 處理填補位元組的方式不當所致。MitM 攻擊者若能夠強制受影響的應用程式透過新建立的 SSL 3.0 連線重複傳送相同資料，即可嘗試解密所選的加密文字位元組 256 次。(CVE-2014-3566、PI28435、PI28436、PI28437)

- IPv4 Dispatcher 元件的負載平衡器中有一個不明瑕疵，允許遠端攻擊者造成拒絕服務。(CVE-2014-4764 / PI21189)

- 存在一個與管理主控台相關的不明輸入驗證錯誤，允許跨網站指令碼和跨網站要求偽造攻擊。
 (CVE-2014-4770、CVE-2014-4816 / PI23055)

- 存在一個與「啟用通訊的應用程式」(CEA) 服務相關的錯誤，可允許 XML 外部實體插入 (XXE) 攻擊，導致資訊洩漏。只有在已啟用 CEA 的情況下才會發生此問題，而 CEA 預設為停用。(CVE-2014-6166 / PI25310)

- 存在一個輸入驗證錯誤，與使用 URL 重寫的工作階段輸入相關，可能會導致跨網站指令碼攻擊。(CVE-2014-6167 / PI23819)

- 存在一個與管理主控台相關的錯誤，其允許點擊劫持攻擊。(CVE-2014-6174 / PI27152)

遠端主機執行的 IBM WebSphere Application Server 版本是比 Fix Pack 35 舊的 7.0 版。因此受到以下弱點影響：

- 存在多個與隨附的 IBM HTTP Server 相關的錯誤，這些錯誤可導致遠端程式碼執行或拒絕服務。(CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231 / PI22070)

- 存在一個與 HTTP 標頭處理相關的錯誤，此錯誤可導致洩漏敏感資訊。
 (CVE-2014-3021 / PI08268)

- 存在一個可導致洩漏敏感資訊的不明錯誤。
 (CVE-2014-3083 / PI17768)

- 存在一個與「管理主控台」相關的不明輸入驗證錯誤，此錯誤可導致跨網站指令碼和跨網站要求偽造攻擊。
 (CVE-2014-4770、CVE-2014-4816 / PI23055)

远程主机正在运行的 IBM WebSphere Application Server 7.0 版本低于 Fix Pack 35。因此，它受到以下漏洞的影响：

- 存在多种与随附的 IBM HTTP 服务器相关的错误，这些错误可允许远程代码执行或拒绝服务。（CVE-2013-5704、CVE-2014-0118、CVE-2014-0226、CVE-2014-0231 / PI22070）

- 存在一个有关 HTTP 标头处理的错误，可允许敏感信息泄露。
 (CVE-2014-3021/ PI08268)

- 存在一个不明错误，可允许敏感信息泄露。
 (CVE-2014-3083/ PI17768)

- 存在有关“管理控制台”的一个不明输入验证错误，可允许跨站脚本和跨站请求伪造攻击。
 （CVE-2014-4770、CVE-2014-4816 / PI23055）

The remote host appears to be running IBM WebSphere Application Server 7.0.0.x prior to 7.0.0.35 and is affected by multiple vulnerabilities :

 - An unspecified flaw exists that is triggered when handling a specially crafted HTTP method. This may allow a remote attacker to gain access to potentially sensitive cookie and authentication data, which can allow the attacker conduct further, more serious attacks on the system. (CVE-2014-3021)
 - A flaw exists in the administrative console that allows a stored cross-site scripting (XSS) attack. This flaw exists because the program does not validate input before returning it to users. This may allow an authenticated remote attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2014-4770)
 - A flaw exists in the administrative console as HTTP requests do not require multiple steps, explicit confirmation, or a unique token when performing certain sensitive actions. By tricking a user into following a specially crafted link, a context-dependent attacker can perform a Cross-Site Request Forgery (CSRF / XSRF) attack causing the victim to perform unspecified actions. (CVE-2014-4816)
 - An XXE (Xml eXternal Entity) injection flaw exists in the Communications Enabled Applications (CEA) service that is triggered during the parsing of XML data. The issue is due to an incorrectly configured XML parser accepting XML external entities from an untrusted source. By sending specially crafted XML data, a remote attacker can gain access to potentially sensitive information. (CVE-2014-6166)

The remote host appears to be running IBM WebSphere Application Server 8.0.0.x prior to 8.0.0.10.  Such versions are potentially affected by multiple issues :

 - An unspecified flaw exists that is triggered when handling a specially crafted HTTP method. This may allow a remote attacker to gain access to potentially sensitive cookie and authentication data, which can allow the attacker conduct further, more serious attacks on the system. (CVE-2014-3021)
 - A flaw exists in the administrative console that allows a stored cross-site scripting (XSS) attack. This flaw exists because the program does not validate input before returning it to users. This may allow an authenticated remote attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2014-4770)
 - A flaw exists in the administrative console as HTTP requests do not require multiple steps, explicit confirmation, or a unique token when performing certain sensitive actions. By tricking a user into following a specially crafted link, a context-dependent attacker can perform a Cross-Site Request Forgery (CSRF / XSRF) attack causing the victim to perform unspecified actions. (CVE-2014-4816)
 - A flaw exists that can allow a context-dependent attacker to spoof the OpenID and OpenID connect cookies with a specially crafted URL. This may allow the attacker to gain access to potentially sensitive information. (CVE-2014-6164)
 - An XXE (Xml eXternal Entity) injection flaw exists in the Communications Enabled Applications (CEA) service that is triggered during the parsing of XML data. The issue is due to an incorrectly configured XML parser accepting XML external entities from an untrusted source. By sending specially crafted XML data, a remote attacker can gain access to potentially sensitive information. (CVE-2014-6166)

The remote host appears to be running IBM WebSphere Application Server 8.5.5.x prior to 8.5.5.4.  Such versions are potentially affected by multiple issues :

 - An unspecified flaw exists that is triggered when handling a specially crafted HTTP method. This may allow a remote attacker to gain access to potentially sensitive cookie and authentication data, which can allow the attacker conduct further, more serious attacks on the system. (CVE-2014-3021)
 - A flaw exists in the administrative console that allows a stored cross-site scripting (XSS) attack. This flaw exists because the program does not validate input before returning it to users. This may allow an authenticated remote attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2014-4770)
 - A flaw exists in the administrative console as HTTP requests do not require multiple steps, explicit confirmation, or a unique token when performing certain sensitive actions. By tricking a user into following a specially crafted link, a context-dependent attacker can perform a Cross-Site Request Forgery (CSRF / XSRF) attack causing the victim to perform unspecified actions. (CVE-2014-4816)
 - A flaw exists that can allow a context-dependent attacker to spoof the OpenID and OpenID connect cookies with a specially crafted URL. This may allow the attacker to gain access to potentially sensitive information. (CVE-2014-6164)
 - An XXE (Xml eXternal Entity) injection flaw exists in the Communications Enabled Applications (CEA) service that is triggered during the parsing of XML data. The issue is due to an incorrectly configured XML parser accepting XML external entities from an untrusted source. By sending specially crafted XML data, a remote attacker can gain access to potentially sensitive information. (CVE-2014-6166)
 - A flaw exists that allows a reflected XSS attack. This flaw exists because the program does not validate input to session input using URL rewriting before returning it to users. This may allow a context-dependent attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2014-6167)

ID	名稱	產品	系列	已發布	已更新	嚴重性
81401	IBM WebSphere Application Server 8.0 < Fix Pack 10 Multiple Vulnerabilities (POODLE)	Nessus	Web Servers	2015/2/18	2019/11/25	medium
80398	IBM WebSphere Application Server 8.5 < Fix Pack 8.5.5.4 Multiple Vulnerabilities (POODLE)	Nessus	Web Servers	2015/1/7	2019/11/25	medium
78604	IBM WebSphere Application Server 7.0 < Fix Pack 35 Multiple Vulnerabilities	Nessus	Web Servers	2014/10/21	2018/8/6	medium
81401	IBM WebSphere Application Server 8.0 < Fix Pack 10 の複数の脆弱性（POODLE）	Nessus	Web Servers	2015/2/18	2019/11/25	medium
80398	Fix Pack 8.5.5.4 より前の IBM WebSphere Application Server 8.5 の複数の脆弱性（POODLE）	Nessus	Web Servers	2015/1/7	2019/11/25	medium
78604	IBM WebSphere Application Server 7.0 < Fix Pack 35 の複数の脆弱性	Nessus	Web Servers	2014/10/21	2018/8/6	medium
80398	IBM WebSphere Application Server 8.5 < Fix Pack 8.5.5.4 多种漏洞 (POODLE)	Nessus	Web Servers	2015/1/7	2019/11/25	medium
80398	IBM WebSphere Application Server 8.5 < Fix Pack 8.5.5.4 多個弱點 (POODLE)	Nessus	Web Servers	2015/1/7	2019/11/25	medium
81401	IBM WebSphere Application Server 8.0 < Fix Pack 10 多种漏洞 (POODLE)	Nessus	Web Servers	2015/2/18	2019/11/25	medium
81401	IBM WebSphere Application Server 8.0 < Fix Pack 10 多個弱點 (POODLE)	Nessus	Web Servers	2015/2/18	2019/11/25	medium
78604	IBM WebSphere Application Server 7.0 < Fix Pack 35 多種弱點	Nessus	Web Servers	2014/10/21	2018/8/6	medium
78604	IBM WebSphere Application Server 7.0 < Fix Pack 35 多种漏洞	Nessus	Web Servers	2014/10/21	2018/8/6	medium
700044	IBM WebSphere Application Server 7.0.0.x < 7.0.0.35 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2017/4/4	2019/3/6	high
700045	IBM WebSphere Application Server 8.0.0.x < 8.0.0.10 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2017/4/4	2019/3/6	medium
700046	IBM WebSphere Application Server 8.5.5.x < 8.5.5.4 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2017/4/4	2019/3/6	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

high

medium

medium