23-09-2009

Múltiples vulnerabilidades han sido identificadas en IBM WebSphere Application Server, que podría ser explotada por atacantes remotos o usuarios maliciosos para provocar una denegación de servicio o acceder a información sensible.

Sistemas afectados:

Versiones de IBM WebSphere Application Server anteriores a la 6.1.0.27

Riesgo:   Medio

Descripción:

El primer problema es causado por un error no especificado de validación de entrada en la ayuda de Eclipse, lo que podría ser explotada por atacantes para provocar ejecución de código script arbitrario ejecutado por el navegador del usuario al acceder a un sitio afectado.
 
La segunda vulnerabilidad es causada por un error en el manejo de una excepción que ocurre después del uso de las secuencias de comandos wsadmin y configuración de la autenticación de datos en JAAS J2C, lo que podría permitir a usuarios locales obtener información sensible leyendo el Primer Fallo de Captura de Datos (FFDC-First Failure Data Capture) del archivo de log.
 
El tercer problema es causado por un error no especificado en relación con fixpacks 6.1.0.23 y 6.1.0.25, que podría permitir a atacantes remotos provocar una denegación de servicio.

Solución:

Actualizar a la versión 6.1.0.27 (Fix Pack 27) de IBM WebSphere Application Server desde:
http://www.ibm.com/support/docview.wss?rs=180&uid=swg24024195

Referencias:

CVE-2009-2742
CVE-2009-2743
CVE-2009-2744

Más información:

http://www-01.ibm.com/support/docview.wss?uid=swg27007951
http://www.vupen.com/english/advisories/2009/2721
http://xforce.iss.net/xforce/xfdb/53342
http://xforce.iss.net/xforce/xfdb/53343
http://xforce.iss.net/xforce/xfdb/53344

Fuente:   VUPEN www.vupen.com