IBM 系列产品多个漏洞安全通告
发布时间 2019-07-05漏洞编号和级别
CVE编号：CVE-2019-4088，危险级别：高危，CVSS分值：厂商自评：7.4，官方未评定
CVE编号：CVE-2019-4140，危险级别：高危，CVSS分值：厂商自评：6.3，官方：7.1
CVE编号：CVE-2019-4129，危险级别：中危，CVSS分值：厂商自评：3.1，官方：5.3
CVE编号：CVE-2019-4292，危险级别：高危，CVSS分值：厂商自评：8.8，官方：8.8
CVE编号：CVE-2019-4134，危险级别：中危，CVSS分值：厂商自评：6.1，官方：6.1
CVE编号：CVE-2019-4260，危险级别：中危，CVSS分值：厂商自评：5.3，官方：5.3
影响版本
受影响的版本
CVE-2019-4087、CVE-2019-4088、CVE-2019-4140、CVE-2019-4129：
IBM Spectrum Protect8.1.0.0 through 8.1.7.xxx
7.1.0.0 through 7.1.9.200
CVE-2019-4292：
IBM Security Guardium 10.5
CVE-2019-4134：
IBM Planning Analytics Local v2.0
CVE-2019-4260：
Daeja ViewONE Virtual 5.0 - 5.0.5
漏洞概述
IBM披露了其一系列产品中多个关键和高严重性漏洞，其中最严重的漏洞存在于IBM Spectrum Protect工具中。IBM Spectrum Protect（前称Tivoli Storage Manager）是美国IBM公司的一套数据保护平台。该平台为企业提供单一控制和管理点，并支持对所有规模的虚拟、物理和云环境进行备份和恢复。多个漏洞如下：
IBM Spectrum Protect Servers和Storage Agents中存在缓冲区错误漏洞，该漏洞源于程序没有执行正确的边界检测。远程攻击者可通过发送超长的请求利用该漏洞在系统上执行任意代码或造成服务器或Storage Agents崩溃。
IBM Spectrum Protect Servers和Storage Agents中存在安全漏洞。攻击者可借助特制的库利用该漏洞获取提升的权限。
IBM Spectrum Protect中存在安全漏洞。本地攻击者可利用该漏洞恢复旧数据来替换现有的数据库。
IBM Spectrum Protect Operations Center中存在安全漏洞，该该漏洞源于错误消息中包含有栈轨迹。远程攻击者可利用该漏洞获取Operations Center框架的详细信息。
IBM Security Guardium是美国IBM公司的一套提供数据保护功能的平台。该平台包括自定义UI、报告管理和流线化的审计流程构建等功能。IBM Security Guardium中存在安全漏洞。远程攻击者可利用该漏洞上传任意文件，执行任意代码。
IBM Planning Analytics是美国IBM公司的一套业务规划分析解决方案。该方案支持自动化执行业务规划、预算和分析等流程。IBM Planning Analytics中存在跨站脚本漏洞。远程攻击者可利用该漏洞在Web UI中注入任意的JavaScript代码。
IBM Daeja ViewONE Virtual是美国IBM公司的一款基于HTML5的文档和图像查看器。该产品主要用于查看、注释和打印图像和文档。IBM Daeja ViewONE Virtual中存在安全漏洞。攻击者可利用该漏洞下载任意服务器文件。
漏洞验证
暂无POC/EXP。
修复建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接见参考链接。
参考链接
https://www-01.ibm.com/support/docview.wss?uid=ibm10883346
https://www-01.ibm.com/support/docview.wss?uid=ibm10883236
https://www-01.ibm.com/support/docview.wss?uid=ibm10888279
https://www-01.ibm.com/support/docview.wss?uid=ibm10886607
https://www-01.ibm.com/support/docview.wss?uid=ibm10884382
京公网安备11010802024551号