IBM WebSphere Application Server < 6.1.0.23 多个缺陷

high Nessus 插件 ID 36161

语言：

简介

远程应用程序服务器受到多种漏洞的影响。

描述

远程主机上安装的似乎是 Fix Pack 23 之前的 IBM WebSphere Application Server 6.1。有报告称此类版本受到多种漏洞的影响：

- 如果攻击者具有有效凭据，可能会劫持经身份验证的会话。(PK66676)

- 远程攻击者可能使用 ibm_security_logout servlet 将用户重定向到任意站点。(PK71126)

- 在某些情况下，可以访问管理控制台用户会话。(PK74966)

- 如果应用了 APAR PK41002，则 JAX-RPC WS-Security 组件中的一个漏洞会错误地验证“UsernameToken”。(PK75992)

- IBM WebSphere Application Server 随附的示例应用程序受到跨站脚本漏洞的影响。(PK76720)

- 管理控制台受到一个跨站脚本漏洞的影响。(PK77505)

- 攻击者可能会读取任意特定于应用程序的 war 文件。(PK81387)

解决方案

如果使用 WebSphere Application Server，请应用 Fix Pack 23 (6.1.0.23) 或更高版本。

否则，如果使用 Tivoli Directory Server 随附的嵌入式 WebSphere Application Server，请应用最新推荐的 eWAS Fix Pack。