IBM WebSphere Application Server 7.0 < Fix Pack 1

medium Nessus 插件 ID 35082

语言：

简介

远程应用程序服务器受到多种漏洞的影响。

描述

远程主机上运行的似乎是 Fix Pack 1 之前的 IBM WebSphere Application Server 7.0。因此，有报告称其受到多种漏洞的影响。

- 如果已启用 Performance Monitoring Infrastructure (PMI)，PerfServlet 代码会在“systemout.log”和 ffdc 文件中写入敏感信息。(PK63886)
- Web 服务的功能包中存在一个漏洞，可导致信息泄露，这是“userNameToken”所致。
(PK67282)
- 基础 OS 锁定的用户可通过管理控制台进行身份验证。(PK67909)

- 忽略 Web 身份验证选项“访问任何 URI 时进行身份验证”和“访问未受保护的 URI 时使用可用身份验证数据”。无任何安全限制的 Servlet 不会获得身份验证，带“@”符号的用户名无法进行身份验证。
(PK71826)

- JAX-WS 中的 WS-Security 未在登录失败时从客户端缓存中删除 UsernameToken。(PK72435)

- 即使将 IDAssertion.isUsed 设置为 true，并且使用简单用户名标记策略集，WSPolicy 也会在 SOAP 消息中泄露密码。(PK73573)

- SSL 流量通过未加密的 TCP 路由进行传输。
(PK74777)

- 通过发送特别构建的请求，远程攻击者可获取需要授权的某些 JSP 页面的访问权限。
(PK75248)