<div>Hi,</div>
<div> </div>
<div>Sorry that this is off-topic but the Nessus scan gave 2 Nessus scan</div>
<div>results which have been bugging us a while.</div>
<div> </div>
<div>It appeared on Wintel platforms too & when my Wintel colleague tried</div>
<div>to disable it, it disabled the webservice or a certain application.</div>
<div><br>Anyone has any idea on how to address them without affecting the service<br><br>================================================<br></div>
<div>Vulnerability # 1 :</div>
<div><br>interwise (7778/tcp)<br><br>Synopsis :<br><br>Debugging functions are enabled on the remote web server. <br><br><br>Description :<br><br>The remote webserver supports the TRACE and/or TRACK methods. TRACE<br>and TRACK are HTTP methods which are used to debug web server<br>
connections. <br><br>In addition, it has been shown that servers supporting the TRACE<br>method are subject to cross-site scripting attacks, dubbed XST for<br>"Cross-Site Tracing", when used in conjunction with various weaknesses<br>
in browsers. An attacker may use this flaw to trick your legitimate<br>web users to give him their credentials. <br><br><br>See Also :<br><br><a href="http://www.cgisecurity.com/whitehat-mirror/WH-WhitePaper_XST_ebook.pdf" target="_blank" rel="nofollow"><font color="#777777">http://www.cgisecurity.com/whitehat-mirror/WH-WhitePaper_XST_ebook.pdf</font></a><br>
<a href="http://www.apacheweek.com/issues/03-01-24" target="_blank" rel="nofollow"><font color="#777777">http://www.apacheweek.com/issues/03-01-24</font></a><br><a href="http://www.kb.cert.org/vuls/id/867593" target="_blank" rel="nofollow"><font color="#777777">http://www.kb.cert.org/vuls/id/867593</font></a><br>
<br><br>Solution:<br><br>Disable these methods.<br><br><br>Risk Factor :<br><br>Medium / CVSS Base Score : 5.0<br>(CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N)<br><br>======================================================</div>
<div> </div>
<div>
<div>Vulnerability # 2 :</div></div>
<div><br>csd-mgmt-port (3071/tcp)<br><br>Synopsis :<br><br>The remote service supports the use of weak SSL ciphers. <br><br><br>Description :<br><br>The remote host supports the use of SSL ciphers that offer either weak<br>
encryption or no encryption at all. <br><br><br>See Also :<br><br><a href="http://www.openssl.org/docs/apps/ciphers.html" target="_blank" rel="nofollow"><font color="#777777">http://www.openssl.org/docs/apps/ciphers.html</font></a><br>
<br><br>Solution:<br><br>Reconfigure the affected application if possible to avoid use of weak<br>ciphers. <br><br><br>Risk Factor : <br><br>Medium / CVSS Base Score : 5.0<br>(CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N)<br><br><br>
Plugin output :<br><br>Here is the list of weak SSL ciphers supported by the remote server :<br><br>Low Strength Ciphers (< 56-bit key)<br>SSLv3<br>EXP-EDH-RSA-DES-CBC-SHA Kx=DH(512) Au=RSA Enc=DES(40) Mac=SHA1 export <br>
EXP-DES-CBC-SHA Kx=RSA(512) Au=RSA Enc=DES(40) Mac=SHA1 export <br>EXP-RC4-MD5 Kx=RSA(512) Au=RSA Enc=RC4(40) Mac=MD5 export <br>TLSv1<br>EXP-EDH-RSA-DES-CBC-SHA Kx=DH(512) Au=RSA Enc=DES(40) Mac=SHA1 export <br>EXP-DES-CBC-SHA Kx=RSA(512) Au=RSA Enc=DES(40) Mac=SHA1 export <br>
EXP-RC4-MD5 Kx=RSA(512) Au=RSA Enc=RC4(40) Mac=MD5 export <br><br>The fields above are :<br><br>{OpenSSL ciphername}<br>Kx={key exchange}<br>Au={authentication}<br>Enc={symmetric encryption method}<br>Mac={message authentication code}<br>
{export flag}</div>