IBM WebSphere Application Server < 6.0.2.33 多种漏洞

high Nessus 插件 ID 36132

简介

远程应用程序服务器受到多种漏洞的影响。

描述

远程主机上运行的似乎是 Fix Pack 33 之前的 IBM WebSphere Application Server 6.0.2。因此,有报告称它受到多种漏洞的影响:

- 如果攻击者具有有效凭据,可能会劫持经身份验证的会话。(PK66676)

- 如果启用了 Performance Monitoring Infrastructure (PMI),PerfServlet 代码会在“systemout.log”和 ffdc 文件中写入敏感信息。
(PK63886)

- 可以使用被操作系统锁定的用户帐户登录管理控制台。(PK67909)

- 一个未知漏洞影响基于 z/OS 的 IBM WebSphere 应用程序服务器。(PK71143)

- 管理控制台中的一个不明漏洞允许从远程系统检索任意文件。(PK72036)

- 如果应用了 APAR PK41002,则 JAX-RPC WS-Security 组件中的一个漏洞会错误地验证“UsernameToken”。(PK75992)

- 与基于 Unix 的 IBM WebSphere Application Server 版本的临时修复相关的某些文件内置了不安全的文件权限。(PK78960)

解决方案

请安装 Fix Pack 33 (6.0.2.33) 或更高版本。

另见

http://www-01.ibm.com/support/docview.wss?uid=swg27006876#60233

http://www-01.ibm.com/support/docview.wss?uid=swg1PK67909

http://www-01.ibm.com/support/docview.wss?uid=swg21367223

http://www-01.ibm.com/support/docview.wss?uid=swg24022693

插件详情

严重性: High

ID: 36132

文件名: websphere_6_0_2_33.nasl

版本: 1.16

类型: remote

系列: Web Servers

发布时间: 2009/4/10

最近更新时间: 2018/8/6

支持的传感器: Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

漏洞信息

CPE: cpe:/a:ibm:websphere_application_server

必需的 KB 项: www/WebSphere

易利用性: No known exploits are available

补丁发布日期: 2009/2/13

参考资料信息

CVE: CVE-2009-0506, CVE-2009-0891

BID: 33884, 34330, 35610

CWE: 287

Secunia: 34038