IBM InfoSphere DataStage script beszúrásos sérülékenység

2013. február 18. 09:06

CH azonosító

CH-8488

Angol cím

IBM InfoSphere DataStage Information Server Web Console Script Insertion Vulnerabilities

Felfedezés dátuma

2013.02.14.

Súlyosság

Alacsony

Érintett rendszerek

IBM
InfoSphere DataStage

Érintett verziók

IBM InfoSphere DataStage 8.x

Összefoglaló

Az IBM InfoSphere DataStage több sérülékenysége vált ismertté, amelyeket kihasználva a rosszindulatú felhasználók script beszúrásos (script insertion) támadásokat indíthatnak.

Leírás

Az Information Server Web Console-ban lévő LoggingViewAdmin.do részére különböző paramétereken keresztül átadott bemeneti adatok nincsenek megfelelően megtisztítva, mielőtt a felhasználó számára megjelenítésre kerülnének. Ez kihasználható tetszőleges HTML és script kód beszúrására, amely a felhasználó böngészőjének munkamenetében kerül lefuttatásra a káros tartalom megtekintése közben.

Az érintett paraméterek listája:

http://[host]/LoggingViewAdmin.do?HiddenNameWISDService
http://[host]/LoggingViewAdmin.do?HiddenNameWISDOperation
http://[host]/LoggingViewAdmin.do?HiddenNameWISDApplication
http://[host]/LoggingViewAdmin.do?HiddenNameUser
http://[host]/LoggingViewAdmin.do?HiddenNamePackage
http://[host]/LoggingViewAdmin.do?HiddenNameISFRequestId
http://[host]/LoggingViewAdmin.do?HiddenNameDSWave
http://[host]/LoggingViewAdmin.do?HiddenNameDSTemplate
http://[host]/LoggingViewAdmin.do?HiddenNameDSSeverity
http://[host]/LoggingViewAdmin.do?HiddenNameDSSequence
http://[host]/LoggingViewAdmin.do?HiddenNameDSProject
http://[host]/LoggingViewAdmin.do?HiddenNameDSLoginName
http://[host]/LoggingViewAdmin.do?HiddenNameDSJob
http://[host]/LoggingViewAdmin.do?HiddenNameDSInvocation
http://[host]/LoggingViewAdmin.do?HiddenNameDSHostName
http://[host]/LoggingViewAdmin.do?HiddenNameDSArguments
http://[host]/LoggingViewAdmin.do?HiddenNameArchive

A sérülékenységeket a 8.5 verzióban jelentették.

Legfrissebb sérülékenységek

CVE-2024-53104 – Linux Kernel sérülékenysége

CVE-2024-6047 – GeoVision Devices OS Command Injection sebezhetősége

CVE-2025-3928 – Commvault Web Server Unspecified sérülékenysége

CVE-2025-3248 – Langflow Missing Authentication sérülékenysége

CVE-2024-58136 – Yiiframework Yii Improper Protection of Alternate Path sérülékenysége

CVE-2025-34028 – Commvault Command Center Path Traversal sérülékenysége

CVE-2023-44221 – SonicWall SMA100 Appliances OS Command Injection sérülékenysége

CVE-2024-38475 – Apache HTTP Server Improper Escaping of Output sérülékenysége

CVE-2025-24132 – Apple AirPlay sebezhetősége

CVE-2025-31330 – SAP Landscape Transformation sebezhetősége

Tovább a sérülékenységekhez »

IBM InfoSphere DataStage script beszúrásos sérülékenység