Avis du CERT-FR
Objet : Vulnérabilités dans IBM WebSphere Application Server
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
IBM WebSphere Application Server 6.x et 7.x.
Résumé
Plusieurs vulnérabilités dans IBM WebSphere Application Server ont été publiées. Certaines permettent à un utilisateur malveillant d'exécuter du code arbitraire à distance.
Description
Plusieurs vulnérabilités dans IBM WebSphere Application Server ont été publiées :
- le composant Security présente un défaut qui permet à un utilisateur malveillant de contourner à distance les restrictions d'accès ;
- un problème dans le composant Web Service permet à un utilisateur local de réaliser un déni de service ;
- dans certaines configurations, lors de l'utilisation de SPNEGO Single Sign-On, un utilisateur malveillant distant peut contourner l'authentification ;
- le composant de migration permet à un utilisateur authentifié distant d'obtenir indûment des informations sensibles ;
- un défaut non précisé du composant System Management/Repository permet à un utilisateur malveillant distant de contourner les restrictions d'accès et d'arrêter un service ;
- sur un système z/OS, le composant System Management/Repository utilise des droits d'accès permissifs, permettant à un utilisateur malveillant d'obtenir des données sensibles ;
- une lecture erronée du paramètre portletServingEnabled permet à un utilisateur malveillant distant de contourner les restrictions d'accès.
Solution
Les versions 7.0.0.5 et 6.1.0.25 corrigent ces vulnérabilités.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité IBM swg27007951 du 05 août 2009 :
http://www-01.ibm.com/support/docview.wss?uid=swg27007951 -
Bulletin de sécurité IBM swg27014463 du 27 juillet 2009 :
http://www-01.ibm.com/support/docview.wss?uid=swg27014463 -
Référence CVE CVE-2009-2085
https://www.cve.org/CVERecord?id=CVE-2009-2085 -
Référence CVE CVE-2009-2087
https://www.cve.org/CVERecord?id=CVE-2009-2087 -
Référence CVE CVE-2009-2088
https://www.cve.org/CVERecord?id=CVE-2009-2088 -
Référence CVE CVE-2009-2089
https://www.cve.org/CVERecord?id=CVE-2009-2089 -
Référence CVE CVE-2009-2090
https://www.cve.org/CVERecord?id=CVE-2009-2090 -
Référence CVE CVE-2009-2091
https://www.cve.org/CVERecord?id=CVE-2009-2091 -
Référence CVE CVE-2009-2092
https://www.cve.org/CVERecord?id=CVE-2009-2092
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 août 2009 | version initiale. |