漏洞描述
4月9日，IBM 官方更新安全公告，修復(fù)了WebSphere Application Server 中的權(quán)限提升漏洞（CVE-2020-4362）。當(dāng)WebSphere在管理請(qǐng)求中通過SOAP connector使用基于令牌的身份驗(yàn)證時(shí)，攻擊者通過向WebSphere SOAP Connector發(fā)送惡意構(gòu)造的請(qǐng)求，可能在受影響服務(wù)器上進(jìn)行權(quán)限提升。
WebSphere是IBM的軟件平臺(tái)。它包含了編寫、運(yùn)行和監(jiān)視全天候的工業(yè)強(qiáng)度的隨需應(yīng)變 Web 應(yīng)用程序和跨平臺(tái)、跨產(chǎn)品解決方案所需要的整個(gè)中間件基礎(chǔ)設(shè)施，如服務(wù)器、服務(wù)和工具。WebSphere Application Server 是該設(shè)施的基礎(chǔ)，其他所有產(chǎn)品都在它之上運(yùn)行。
漏洞編號(hào)
CVE-2020-4362
漏洞危害
遠(yuǎn)程且未經(jīng)授權(quán)的攻擊者通過利用此漏洞，可以在目標(biāo)服務(wù)端執(zhí)行任意惡意代碼，獲取系統(tǒng)權(quán)限。
漏洞等級(jí)
高危
受影響版本
WebSphere Application Server 9.0.0.0 – 9.0.5.3
WebSphere Application Server 8.5.0.0 – 8.5.5.17
WebSphere Application Server 8.0.0.0 – 8.0.0.15
WebSphere Application Server 7.0.0.0 – 7.0.0.45
修復(fù)方案
目前官方已發(fā)布補(bǔ)丁修復(fù)了該漏洞，對(duì)于已停止維護(hù)的版本也提供了安全補(bǔ)丁，禹宏信安請(qǐng)受影響的用戶盡快更新進(jìn)行防護(hù)。
通過運(yùn)行 IBM Installation Manager 進(jìn)行更新，根據(jù)程序提示進(jìn)行補(bǔ)丁下載、漏洞修復(fù)的工作。
也可以前往官方地址，手動(dòng)進(jìn)行補(bǔ)丁下載、漏洞修復(fù)的工作。（注：安裝補(bǔ)丁之前請(qǐng)先關(guān)閉WebSphere服務(wù)，安裝完成后再將服務(wù)開啟。）
| 受影響版本 | 修復(fù)方法 |
| 9.0.0.0?–?9.0.5.3 | 方法一：安裝補(bǔ)丁PH23853
方法二：升級(jí)至9.0.5.4或更高版本（targeted availability 2Q2020） |
| 8.5.0.0 – 8.5.5.17 | 方法一：安裝補(bǔ)丁PH23853
方法二：升級(jí)至8.5.5.18或更高版本（targeted availability 3Q2020） |
| 8.0.0.0 – 8.0.0.15 | 升級(jí)至8.0.0.15?版本，并安裝補(bǔ)丁PH23853 |
| 7.0.0.0 – 7.0.0.45 | 升級(jí)至7.0.0.45版本，并安裝補(bǔ)丁PH23853 |
參考鏈接
- https://www.ibm.com/support/pages/node/6174273