Vulnerabilidades en IBM WebSphere Application Server

IBM ha publicado unaactualización para corregir múltiples vulnerabilidades en IBM WebSphere Application Server que podrían permitir a un atacante remoto obtener información sensible o conseguir privilegios elevados en el sistema.

IBM WebSphere Application Server (WAS) es el servidor de aplicaciones de software de la familia WebSphere de IBM. WAS puede funcionar con diferentes servidores web y sistemas operativos incluyendo Apache HTTP Server, Netscape Enterprise Server, Microsoft Internet Information Services (IIS), IBM HTTP Server en sistemas operativos AIX, Linux, Microsoft, Windows y Solaris.

El primero de los problemas (con CVE-2014-8890) podría permitir a un atacante remoto obtener privilegios elevados en el sistema si el despliegue del descriptor de las restricciones de seguridad se combina con anotaciones ServletSecurity en un servlet. WebSphere Application Server Full Profile y Liberty Profile podrían permitir a un atacante remoto obtener privilegios elevados en el sistema cuando se utilizan contraseñas OAuth (CVE-2015-1885).

Por otra parte, Apache Batik podría permitir a un atacante remoto obtener información sensible a través de archivos SVG especialmente diseñados (CVE-2015-0250). IBM WebSphere Application Server podría permitir a un atacante remoto obtener acceso no autorizado en el sistema debido a una aplicación con una configuración serveServletsbyClassname incorrecta (CVE-2015-1927).

IBM WebSphere Application Server e IBM WebSphere Virtual Enterprise podrían permitir a un atacante remoto obtener información que identifique el servidor proxy utilizado (CVE-2015-1932). Por último, IBM WebSphere Application Server podría permitir a un atacante remoto falsificar un servlet (CVE-2015-4938).

Se ven afectadas las versiones de IBM WebSphere Application Server 6.1, 7.0, 8.0, 8.5 y 8.5.5.

IBM ha publicado versiones actualizadas de IBM WebSphere Application Server para solucionar estas vulnerabilidades.

Para V8.0.0.0 a 8.0.0.10: Fix Pack 11 (8.0.0.11)

Para V8.5.0.0 a 8.5.5.5 Full Profile: Fix Pack 6 (8.5.5.6)

Para V8.5.0.0 a 8.5.5.4 Liberty Profile: Fix Pack 5 (8.5.5.5)

Para V7.0.0.0 a 7.0.0.37: Fix Pack 39 (7.0.0.39) (disponible en noviembre de 2015)

Para V6.1.0.0 a 6.1.0.47: Fix Pack 47 (6.1.0.47) y el Interim Fix PI31622

Más información:

Security Bulletin: Multiple Security Vulnerabilities fixed in IBM WebSphere Application Server 8.0.0.11

http://www-01.ibm.com/support/docview.wss?uid=swg21963275

                                                                                                  

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Vulnerabilidades en IBM WebSphere Application Server

IBM ha publicado una actualización para corregir múltiples vulnerabilidades en IBM WebSphere Application Server que podrían permitir la realización ataques de Cross-Site Request Forgery, de Cross-Site Scripting, obtener información sensible o evitar restricciones de seguridad. 

  

IBM WebSphere Application Server (WAS) es el servidor de aplicaciones de software de la familia WebSphere de IBM. WAS puede funcionar con diferentes servidores web y sistemas operativos incluyendo Apache HTTP Server, Netscape Enterprise Server, Microsoft Internet Information Services (IIS), IBM HTTP Server en sistemas operativos AIX, Linux, Microsoft, Windows y Solaris.

Problemas corregidos:

• Obtención de información sensible por una vulnerabilidad en cabeceras HTTP empleadas por Web Applications (CVE-2014-3021).
• Salto de restricciones de seguridad por una creación inadecuada de cuentas con Virtual Member Manager SPI Admin Task addFileRegistryAccount (CVE-2014-3070).
• Obtención de información sensible por un fallo al restringir el acceso a los recursos de la aplicación web (CVE-2014-3083).
• El componente GSKit de IBM HTTP Server puede permitir a un atacante local obtener información sensible por un error de implementación en ECDSA (Elliptic curve Digital Signature Algorithm) (CVE-2014-0076).
• Denegación de servicio en WebSphere Application Server en Windows con Load Balancer para IPv4 Dispatcher (CVE-2014-4764).
• Diversas vulnerabilidades en IBM HTTP Server (CVE-2014-0226, CVE-2014-0231, CVE-2014-0118 y CVE-2013-5704).
• La consola de administración de IBM WebSphere Application Server es vulnerable a ataques de cross-site scripting y cross-site request forgery (CVE-2014-4770 y CVE-2014-4816).
• Cross-site scripting en IBM WebSphere Application Server (CVE-2014-6167).
• El servicio WebSphere Application Server Communications Enabled Applications (CEA) puede permitir a un atacante remoto obtener infromación sensible, al tratar datos XML (CVE-2014-6166).
• La consola de administración de IBM WebSphere Application Server puede permitir a un atacante falsear las acciones de la víctima (CVE-2014-6174).
• SSLv3 se ve afectado por la vulnerabilidad POODLE (CVE-2014-3566).

Se ven afectadas las versiones de IBM WebSphere Application Server 6.1, 7.0, 8.0, 8.5 y 8.5.5.

IBM ha publicado la versión IBM WebSphere Application Server 8.0.0.10 que soluciona estas vulnerabilidades.

Más información:

Security Bulletin: Potential Security Vulnerabilities fixed in IBM WebSphere Application Server 8.0.0.10

http://www-01.ibm.com/support/docview.wss?uid=swg21695392

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Actualización de IBM WebSphere Application Server permitía el acceso como administrador

IBMha publicado una actualización para una vulnerabilidad en WebSphere Application Server, que fue introducida con un parche anterior y que puede permitir el acceso a la aplicación como administrador.

La vulnerabilidad (con CVE-2012-3325) reside en un error al validar las credenciales de usuario, y podría ser aprovechada por un atacante para conseguir acceso administrativo no autorizado a la aplicación.

La vulnerabilidad se introdujo con el Interim Fix para PM44303 (o cualquier Fix Pack que contuviera PM44303), fechada en octubre de 2011. Esta actualización estaba destinada a corregir un problema en el tratamiento de cookies en el proceso de autenticación.

La vulnerabilidad se presenta en las versiones 6.1.0.43, 7.0.0.21 hasta 7.0.0.23, 8.0.0.2 hasta 8.0.0.4, y 8.5.0.0 (solo Full Profile). El problema no se presenta en las versions 6.0.2, 6.1.0.0 hasta 6.1.0.41, 7.0.0.0 hasta 7.0.0.19, 8.0.0.0 hasta 8.0.0.1 y 8.5.0.0 (solo Liberty Profile).

IBM recomienda aplicar el Interim Fix PM71296 o un Fix Pack que lo contenga

http://www-01.ibm.com/support/docview.wss?uid=swg24033359

Más información:

Potential security exposure with IBM WebSphere Application Server after installing PM44303

www.ibm.com/support/docview.wss?uid=swg21609067

PM44303: LTPA COOKIE NOT RETURNED ON CLIENT REQUEST THAT SUCCESSFULLY AUTHENTICATES, BUT FAILS AUTHORIZATION TO A WEB REQUEST.

http://www-01.ibm.com/support/docview.wss?uid=swg1PM44303

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero