漏洞概述
2021年04月22日，WebRAY烽火台实验室监测到IBM官方发布了关于WebSphere Application Server存在XML外部实体注入漏洞的安全公告，漏洞编号为：CVE-2021-20453、CVE-2021-20454。由于应用服务器在处理XML数据时，易受到XML外部实体注入（XXE）攻击。攻击者可通过构造恶意请求获取目标服务器的敏感信息或消耗其内存。WebRAY烽火台实验室建议相关用户及时更新安全补丁。
IBM WebSphere Application Server（WAS）是由IBM基于Java EE开发并发行的一种应用服务器。WAS实现了安全、可伸缩的应用程序基础架构，能够帮助用户构建、运行、集成和管理随需应变的业务应用程序。WebRAY烽火台实验室将持续关注该漏洞进展，并第一时间为您更新该漏洞信息。
影响版本
| 漏洞编号 | 影响版本 |
| CVE-2021-20453 |
WebSphere Application Server 9.0 WebSphere Application Server 8.5 WebSphere Application Server 8.0 |
|
CVE-2021-20454 |
WebSphere Application Server 9.0
WebSphere Application Server 8.5 WebSphere Application Server 8.0 WebSphere Application Server 7.0 |
漏洞等级
WebRAY烽火台实验室风险评级：高危
修复建议
1、业务环境允许的情况下，设置白名单限制对业务的访问从而降低风险。
2、IBM官方已发布相应安全补丁，请受影响客户及时关注并更新：
| 漏洞编号 | 修复建议 | 获取链接 |
|
CVE-2021-20453 |
WebSphere Application Server 9.0.0.0至9.0.5.7版本：服务器最低升级到9.0.0.11或9.0.5.0版本后下载补丁PH34067。 |
PH34067补丁获取链接： https://www.ibm.com/support/pages/node/6445141 |
|
WebSphere Application Server 8.5.0.0到8.5.5.19版本：服务器最低升级到8.5.5.14版本后下载补丁PH34067。 |
||
| WebSphere Application Server 8.0.0.0到8.0.0.15版本：服务器最低升级到8.0.0.12版本后下载补丁PH34067。 | ||
| CVE-2021-20454 | WebSphere Application Server 9.0.0.0至9.0.5.7版本：服务器最低升级到9.0.5.4版本后下载补丁PH34048。 | PH34048补丁获取链接：https://www.ibm.com/support/pages/node/6445441 |
| WebSphere Application Server8.5.0.0到8.5.5.19版本：服务器最低升级到8.5.5.15版本后下载补丁PH34048。 | ||
| WebSphere Application Server 8.0.0.0到8.0.0.15：服务器最低升级到8.0.0.15版本后下载补丁PH34048。 | ||
| WebSphere Application Server 7.0.0.0到7.0.0.45：服务器最低升级到7.0.0.45版本后下载补丁PH34048。 |
来源：freebuf.com 2021-04-23 13:48:01 by: WebRAY
请登录后发表评论
注册