Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2018/11/22

Garrantzia: Handia

Kaltetutako baliabideak:

• IBM WebSphere Application Server, 9.0 bertsioa

Azalpena:

XXE (XML External Entity) injekzioaren erako ahultasuna dago WebSphere Application Server-ek erabiltzen duen Knowledge Center-en.

Konponbidea:

WebSphere Application Server-en kasuan, 9.0.0.0tik 9.0.0.9ra bitarteko bertsioak:

• PH04192 partxeak eskatzen dituen gutxieneko mailetara eguneratzea eta aplikatzea.
• 9.0.0.10 partxea edo berriago aplikatzea (2018ko laugarren hiruhilekorako eskuragarri izatea aurreikusten da).

Xehetasuna:

IBM WebSphere Application Server-ek XML External Entity (XXE) eraso bat jasan lezake XML datuak prozesatzerakoan. Urruneko erasotzaile batek ahultasun hori balia lezake informazio konfidentziala agerian uzteko edo memoriaren baliabideak kontsumitzeko. Ahultasun horretarako CVE-2018-1905 identifikatzailea erreserbatu da.