S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 08 juin 2009 No CERTA-2009-AVI-212

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans IBM WebSphere Application Server

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Atteinte à la confidentialité des données ;
• injection de code indirecte.

2 Systèmes affectés

IBM WebSphere Application Server versions antérieures à la 6.0.2.35.

3 Résumé

Plusieurs vulnérabilités dans IBM WebSphere Application Server permettent à une personne malveillante de porter atteinte à la confidentialité des données ou d'effectuer une injection de code indirecte.

4 Description

De mulitples vulnérabilités ont été découvertes dans IBM WebSphere Application Server :

• une erreur dans la page d'authentification permet de récupérer les infomations d'identification ;
• une erreur non spécifiée dans l'API Configservice permet de porter atteinte à la confidentialité des données ;
• une erreur existe dans la spécification de la signature numérique XML ;
• une vulnérabilité non spécifiée affecte wsadmin ;
• une injection de code indirecte est possible dans les exemples d'applications d'IBM WebSphere.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité IBM swg27006876 du 01 juin 2009 :

  http://www-01.ibm.com/support/docview.wss?uid=swg27006876#60235
  

Gestion détaillée du document

08 juin 2009

version initiale.