服務(wù)公告

全部公告 > 安全公告 > 關(guān)于WebSphere XXE 漏洞預(yù)警 (CVE-2020-4949)

關(guān)于WebSphere XXE 漏洞預(yù)警 (CVE-2020-4949)

一、概要

近日，華為云關(guān)注到WebSphere官方發(fā)布安全公告，披露WebSphere Application Server中存在一處XML外部實體（XXE）注入漏洞（CVE-2020-4949），攻擊者利用漏洞可造成敏感信息泄露。

華為云提醒使用WebSphere用戶及時安排自檢并做好安全加固。

參考鏈接：

二、威脅級別

威脅級別：【嚴重】

（說明：威脅級別共四級：一般、重要、嚴重、緊急）

三、漏洞影響范圍

影響版本：

WebSphere Application Server 9.0

WebSphere Application Server 8.5

WebSphere Application Server 8.0

WebSphere Application Server 7.0

安全版本：

WebSphere Application Server >= 9.0.5.7

WebSphere Application Server >= 8.5.5.19

WebSphere Application Server >= 8.0.0.15

WebSphere Application Server >= 7.0.0.45

四、漏洞處置

WebSphere 7.0和8.0系列目前官方不再完全維護，但官方在相應(yīng)的最高版本（7.0.0.45/8.0.0.15）提供了補丁程序PH31727，受影響的用戶可升級至高版本后安裝補丁程序進行漏洞修復(fù)；

WebSphere 8.5系列：安裝補丁程序PH31727進行漏洞修復(fù)；

WebSphere 9.0系列：安裝補丁程序PH31727進行漏洞修復(fù)。

華為云WAF具備對該漏洞防御能力。華為云WAF用戶將“Web基礎(chǔ)防護”狀態(tài)設(shè)置為“攔截”模式，具體方法請參見配置Web基礎(chǔ)防護規(guī)則。

注：修復(fù)漏洞前請將資料備份，并進行充分測試。