IBM WebSphere Application Server 7.0 < Fix Pack 23 多种漏洞

critical Nessus 插件 ID 59728

语言：

简介

远程应用程序服务器可能受到多种漏洞影响。

描述

远程主机上运行的似乎是 Fix Pack 23 之前的 IBM WebSphere Application Server 7.0 版。因此，它可能会受到以下漏洞的影响：

- 使用 WS-Security 时可能存在安全暴露，导致用户可使用 JAX-RPC 在应用程序中提升权限。(PM45181/ CVE-2011-1377)

- 当以下所有项均为真时，可绕过 SSL 客户端证书认证 (PM52351)：

- SSL 通过“SSLEnable”启用 - SSL 客户端认证通过“SSLClientAuth required_reset”启用。默认不启用这些项。另请注意，“SSLClientAuth required”不受影响。
- 未通过“SSLProtocolDisable SSLv2”禁用 SSLv2
- 未禁用“SSLClientAuthRequire”

- 存在与管理控制台有关的不明跨站脚本问题。（PM52274、PM53132）

- 存在与“Application Snoop Servlet”和缺少的访问控制有关的错误。此错误可造成敏感信息泄露。(PM56183)

- 存在涉及 Java 哈希数据结构弱随机化的问题，可导致远程攻击者通过恶意制作的 POST 请求造成拒绝服务。
(PM53930)

解决方案

如果使用 WebSphere Application Server，请应用 Fix Pack 23 (7.0.0.23) 或更高版本。

否则，如果使用 Tivoli Directory Server 随附的嵌入式 WebSphere Application Server，请应用最新推荐的 eWAS 修复程序包。