IBM WebSphere Application Server 8.0 < Fix Pack 9 多种漏洞

high Nessus 插件 ID 76995

语言：

简介

远程应用程序服务器受到多种漏洞的影响。

描述

远程主机上运行的是 Fix Pack 9 之前的 IBM WebSphere Application Server 8.0 版。因此，它受到以下漏洞的影响：

- 管理控制台中存在跨站脚本缺陷，没有对用户输入进行正确验证。这可能引起远程攻击者使用特别构建的请求在浏览器/服务器信任关系内执行任意脚本代码。
（CVE-2013-6323、PI04777 和 PI04880）

- 在 SSL/TLS 握手期间处理 SSLv2 恢复时，全局安全工具包中存在一个拒绝服务缺陷。这可能引起远程攻击者使程序崩溃。（CVE-2013-6329、PI05309）

- 使用附加组件时，含 mod_dav 模块的 HTTP 服务器中存在一个缓冲区溢出缺陷。这可能引起远程攻击者导致缓冲区溢出和拒绝服务。（CVE-2013-6438、PI09345）

- OAuth 中存在一个跨站脚本缺陷，没有对用户输入进行正确验证。这可能引起远程攻击者使用特别构建的请求在浏览器/服务器信任关系内执行任意脚本代码。（CVE-2013-6738、PI05661）

- 在发起 SSL/TLS 连接期间处理 X.509 证书链时，Global Security Kit 中存在拒绝服务缺陷。远程攻击者可使用畸形证书链来挂起全局安全工具包，从而导致客户端或服务器崩溃。（CVE-2013-6747、PI09443）

- 解析多部分请求的 Content-Type 标头时，Apache Commons FileUpload 中存在一个拒绝服务缺陷。远程攻击者可使用特别构建请求来导致程序崩溃。
（CVE-2014-0050、PI12648、PI12926 和 PI13162）

- 椭圆曲线数字签名算法实现中存在一个缺陷，允许恶意进程恢复 ECDSA 临时信息。
（CVE-2014-0076、PI19700）

- 记录没有赋值的 Cookie 时，“mod_log_config”中存在一个拒绝服务缺陷。远程攻击者可使用特别构建的请求来导致程序崩溃。（CVE-2014-0098、PI13028）

- 未填充“PKCS#1”的“sun.security.rsa.RSAPadding”中存在一个信息泄露缺陷。
这可能引起远程攻击者获取预计通过加密保护的定时信息。
(CVE-2014-0453)

-“com.sun.jndi.dns.DnsClient”存在与查询 ID 的随机化相关的缺陷。这可允许远程攻击者执行欺骗攻击。
(CVE-2014-0460)

- Full 和 Liberty 配置文件中存在缺陷。远程攻击者可使用特别构建的请求获取任意文件的访问权限。（CVE-2014-0823、PI05324）

- 管理控制台中存在信息泄露缺陷。这可允许网络攻击者使用特别构建的请求获取特权访问权限。（CVE-2014-0857、PI07808）

- 服务器上配置为重试失败的 POST 请求的 Web 服务器插件中存在一个拒绝服务缺陷。这可能引起远程攻击者使应用程序崩溃。
（CVE-2014-0859、PI08892）

- 代理服务器和 ODR 服务器内存在一个信息泄露缺陷。这可能引起远程攻击者使用特别构建的请求访问潜在敏感信息。（CVE-2014-0891、PI09786）

- 具有反向代理组件的 Web 型 IBM 安全访问管理器中存在一个拒绝服务缺陷。
这可能引起远程攻击者使用特别构建的 TLS 流量，导致系统上的应用程序处于无响应状态。（CVE-2014-0963、PI17025）

- 处理 SOAP 响应时存在一个信息泄露缺陷。这可能导致远程攻击者访问潜在敏感信息。
（CVE-2014-0965、PI11434）

- 存在一个信息泄露缺陷。远程攻击者可使用特别构建的 URL 访问潜在敏感信息。
（CVE-2014-3022、PI09594）