S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 20 septembre 2010 No CERTA-2010-AVI-446

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans IBM WebSphere Application Server Community Edition

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• atteinte à l'intégrité des données.

2 Systèmes affectés

IBM Websphere Application Server Community Edition versions antérieures à la 2.1.1.4.

3 Résumé

Plusieurs vulnérabilités dans IBM Websphere Application Server Community Edition permettent à une personne malintentionnée de porter atteinte à l'intégrité des données ou de contourner la politique de sécurité.

4 Description

De multiples vulnérabilités dans la version de Tomcat embarquée dans IBM Websphere Application Server Community Edition ont été découvertes :

• des fichiers peuvent être arbitrairement effacés ou altérés ;
• le mot de passe par défaut n'est pas suffisament sûr ;
• une installation partielle vulnérable est mise en place après l'echec du processus d'installation.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Liste des changements apportés à IBM Websphere Application Server Community Edition version 2.1.1.4 :

  http://publib.boulder.ibm.com/wasce/changes/2114/CHANGES.txt
  

• Référence CVE CVE-2009-2693 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2693
  

• Référence CVE CVE-2009-2901 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2901
  

• Référence CVE CVE-2009-2902 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2902
  

• Référence CVE CVE-2009-3548 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3548
  

Gestion détaillée du document

20 septembre 2010

version initiale.