当前位置:首页 > 漏洞预警 > 正文

WebSphere 任意文件读取漏洞(CVE-2019-4505)预警

发布时间:2019-09-23 10:22:24,来源:中国信息通信研究院

      一、基本情况

WebSphere 存在任意文件读取漏洞,CVE编号:CVE-2019-4505。WebSphere允许远程攻击者构造一个特定的URL获取服务器上的敏感文件,可导致攻击者查看某个目录中的任何文件。

      二、攻击原理

IBM WebSphere Application Server(WAS)是美国IBM公司的一款应用服务器产品。该产品是JavaEE和Web服务应用程序的平台,也是IBMWebSphere软件平台的基础。

通过该漏洞,攻击者可以获取敏感信息而导致进一步利用。该漏洞危害较大,建议及时升级最新安全补丁。

图片.png

      三、影响范围

受影响版本:

1)WebSphere Application Server Version 9.0

2)WebSphere Application Server Version 8.5

3)WebSphere Application Server Version 8.0

4)WebSphere Application Server Version 7.0

      四、处置建议

1)对于WebSphere Application Server traditional和 WebSphere Application Server Hypervisor Edition产品:

2)到9.0.5.0版本升级到9.0.5.1之后的版本

3)到8.5.5.16版本升级到8.5.5.17之后的版本

4)到9.0.5.0版本升级到9.0.5.1之后的版本

5)对于WebSphere Virtual Enterprise Edition产品:

升级到产品最新版本(官方声明WebSphere Virtual Enterprise V7和V8不再支持,建议升级到产品的固定支持版本)

      五、参考链接

1)https://www.ibm.com/support/pages/node/964766

2)http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-4505