IBM WebSphere Application Server < 6.1.0.25 多种漏洞

medium Nessus 插件 ID 39450

语言：

简介

远程应用程序服务器受到多种漏洞的影响。

描述

远程主机上运行的似乎是 Fix Pack 25 之前的 IBM WebSphere Application Server 6.1 版。因此，有报告称它受到多种漏洞的影响：

- 允许非标准 HTTP 方法。(PK73246)

- SPNEGO 实现的单点登录 (SSO) 中存在一个错误，远程攻击者可利用此漏洞，绕过安全限制。(PK77465)

- “wsadmin”受到一个安全泄露漏洞的影响。(PK77495)

- 从 VMM 迁移后未正确设置“isSecurityEnabled”安全标记。(PK78134)

- 在某些情况下，敏感信息会在迁移轨迹中显示。(PK78134)

- 如果客户端模块在 ibm-webservicesclient-bind.xmi 中指定密码并且目标环境启用了自定义密码加密，则 Web 服务使用不安全的密码模糊算法可造成安全性低于预期的情况。(PK79275)

- 敏感信息可能在轨迹文件中显示。
(PK80337)

- XML 数字签名受到一个安全问题的影响。
(PK80596)

- 如果通过身份断言配置 CSIv2 安全性，远程攻击者可能会绕过安全限制。(PK83097)

- IBM Stax XMLStreamWriter 可写入不正确的 XML 文件，因此容易受到 XML 模糊攻击的影响。
(PK84015)

- Configservice API 可显示敏感信息。
(PK84999)

- 存在安全绕过漏洞，这是入站请求缺少 SOAPAction 或 WS-Addressing Action 所致。(PK72138)

解决方案

如果使用 WebSphere Application Server，请应用 Fix Pack 25 (6.1.0.25) 或更高版本。

否则，如果使用 Tivoli Directory Server 随附的嵌入式 WebSphere Application Server，请应用最新推荐的 eWAS Fix Pack。