IBM Data Studio Web Console sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

IBM Data Studio 3.x

Összefoglaló

Az IBM Data Studio két olyan sérülékenységét jelentették, amelyeket kihasználva a rosszindulatú felhasználók bizalmas információkat szerezhetnek, és a támadók cross-site request forgery (XSRF/CSRF) támadásokat hajthatnak végre.

Leírás

1. Az alkalmazás lehetővé teszi a felhasználóknak bizonyos műveletek elvégzését HTTP kérések segítségével anélkül, hogy ellenőrizné azok érvényességét. Ez kihasználható a monitorozott adatbázisról történő bizalmas adatok megszerzésére, amennyiben egy bejelentkezett felhasználó meglátogat egy kártékony weboldalt.
2. A Data Studio Web Console-lal kapcsolatos bizonyos nem részletezett bemeneti adatok nincsenek megfelelően megtisztítva, mielőtt fájlok letöltéséhez felhasználásra kerülnének. Ez kihasználható tetszőleges fájlok tartalmának a kiszivárogtatásához könyvtár bejárásos támadással.

A sérülékenységeket a 3.1 és 3.1.1 verziókban jelentették.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: www.ibm.com
Gyártói referencia: www.ibm.com
SECUNIA 53840
CVE-2013-2980 - NVD CVE-2013-2980
CVE-2013-2981 - NVD CVE-2013-2981