远程主机上运行的似乎是 Fix Pack 1 之前的 IBM WebSphere Application Server 7.0。因此，有报告称其受到多种漏洞的影响。 

  - 如果已启用 Performance Monitoring Infrastructure (PMI)，PerfServlet 代码会在“systemout.log”和 ffdc 文件中写入敏感信息。(PK63886)  
  - Web 服务的功能包中存在一个漏洞，可导致信息泄露，这是“userNameToken”所致。
    (PK67282)  
  - 基础 OS 锁定的用户可通过管理控制台进行身份验证。(PK67909)

  - 忽略 Web 身份验证选项“访问任何 URI 时进行身份验证”和“访问未受保护的 URI 时使用可用身份验证数据”。无任何安全限制的 Servlet 不会获得身份验证，带“@”符号的用户名无法进行身份验证。
    (PK71826)

  - JAX-WS 中的 WS-Security 未在登录失败时从客户端缓存中删除 UsernameToken。(PK72435)

  - 即使将 IDAssertion.isUsed 设置为 true，并且使用简单用户名标记策略集，WSPolicy 也会在 SOAP 消息中泄露密码。(PK73573)

  - SSL 流量通过未加密的 TCP 路由进行传输。
    (PK74777)

  - 通过发送特别构建的请求，远程攻击者可获取需要授权的某些 JSP 页面的访问权限。
    (PK75248)

检测

IBM WebSphere Application Server 7.0 < Fix Pack 1

medium Nessus 插件 ID 35082

未找到变更日志