[高危]WebSphere Application Server XML外部实体注入漏洞

Posted 信安客

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了[高危]WebSphere Application Server XML外部实体注入漏洞相关的知识,希望对你有一定的参考价值。

近期,IBM接连发布了2项WebSphere Application Server漏洞风险通告,2个XML外部实体注入漏洞为CVE-2021-20453、CVE-2021-20454,漏洞等级:高危,漏洞评分:8 2。


IBM WebSphere Application Server(WAS)是一种高性能的Java应用服务器,可用于构建、运行、集成、保护和管理内部部署和外部部署的动态云和Web应用。它不仅能够确保高性能和灵活性,还提供多种开放标准编程模型选项,旨在最大程度提高开发人员的生产力。它可提供灵活先进的性能、冗余和编程模型。


对此,信安客建议广大用户及时将WebSphere Application Server升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。


  一、WAS XML漏洞详情     

1、CVE-2021-20453: XML外部实体注入漏洞

在处理XML数据时,IBM WebSphere Application Server容易受到XML外部实体注入(XXE)攻击。远程攻击者可利用此漏洞来泄露敏感信息或消耗内存资源。

CVE ID:CVE-2021-20453
组件:WebSphere Application Server
CVSS 评分:8.2
漏洞类型:XML外部实体注入
评级与影响:高危漏洞,易导致敏感信息泄漏、内存资源消耗


2、CVE-2021-20454: XML外部实体注入漏洞

在处理XML数据时,IBM WebSphere Application Server容易受到XML外部实体注入(XXE)攻击。远程攻击者可利用此漏洞来泄露敏感信息或消耗内存资源。

CVE ID:CVE-2021-20454
组件:WebSphere Application Server
CVSS 评分:8.2
漏洞类型:XML外部实体注入
评级与影响:高危漏洞,易导致敏感信息泄漏、内存资源消耗


   二、WAS XML漏洞影响版本   


影响版本 CVE-2021-20454 CVE-2021-20453
WebSphere Application Server 9.0 9.0
WebSphere Application Server 8.5 8.5
WebSphere Application Server 8.0 8.0
WebSphere Application Server 7.0


   三、WAS XML漏洞临时修补建议    

1、CVE-2021-20454

V9.0.0.0至9.0.5.7:根据临时修订要求升级到最低修订包级别,然后下载补丁PH34048
V8.5.0.0到8.5.5.19:根据临时修订要求升级到最低修订包级别,然后下载补丁PH34048
V8.0.0.0到8.0.0.15:升级到8.0.0.15,然后下载补丁PH34048对于V7.0.0.0到7.0.0.45:升级到7.0.0.45,然后下载补丁PH34048


2、CVE-2021-20453

V9.0.0.0至9.0.5.7:根据临时修订要求升级到最低修订包级别,然后下载补丁PH34067
V8.5.0.0到8.5.5.19:根据临时修订要求升级到最低修订包级别,然后下载补丁PH34067
V8.0.0.0到8.0.0.15:升级到8.0.0.15,然后下载补丁PH34067


   四、通告来源   


1、CVE-2021-20453漏洞通告:https://www.ibm.com/support/pages/node/6445171
2、CVE-2021-20454漏洞通告:https://www.ibm.com/support/pages/node/6445481


- END -





[高危]WebSphere Application Server XML外部实体注入漏洞




以上是关于[高危]WebSphere Application Server XML外部实体注入漏洞的主要内容,如果未能解决你的问题,请参考以下文章

更新IBM WebSphere Application Server XXE 漏洞CVE-2020-4643

IBM WebSphere Application Server目录遍历漏洞(CVE-2021-20354)

IBM WebSphere Application Server XXE漏洞(CVE-2020-4949)预警

09.27安全帮®每日资讯:思科互联网操作系统发现执行任意代码高危漏洞;WebSphere XML外部实体注入(XXE)漏洞

漏洞安全公告|WebSphere 远程代码执行漏洞

漏洞通告IBM WebSphere Application Server目录遍历漏洞