CH azonosító
CH-4141Angol cím
IBM Lotus Mobile Connect Multiple VulnerabilitiesFelfedezés dátuma
2010.12.26.Súlyosság
KözepesÖsszefoglaló
Az IBM Lotus Mobile Connect több sérülékenységét jelentették, amiket kihasználva, fizikai hozzáféréssel rendelkező támadók megkerülhetik a biztonsági korlátozásokat, valamint távoli támadók szolgáltatás megtagadást okozhatnak.
Leírás
- A Connection Manager nem megfelelően törli az LTPA token-t azután, hogy a felhasználó a “Logoff” gombot megnyomva kijelentkezik az alkalmazásból. Ezt kihasználva, meg lehet kerülni a hitelesítést. A hiba sikeres kihasználásához szükséges, hogy egy támadónak hozzáférése legyen egy gazdátlan klienshez.
- A Connection Manager nem megfelelően kezeli a hibás HTTP-TCP alapú Mobile Network Connections (MNC) kapcsolódási kísérleteket, amit kihasználva, a memória teljes felhasználását lehet előidézni, az pedig a rendszer összeomlását okozza.
- A Connection Manager referencia számlálójának hibája miatt, az azonos VPN ID-vel ismétlődő belépési kísérletek közben az aktív session-ök közt deszinkronizáció lép fel, ez pedig az elérhető dinamikus IP címtartomány teljes felhasználásához vezet.
Megoldás
Telepítse a javítócsomagokatTámadás típusa
Authentication Issues (Hitelesítés)Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Szükséges hozzáférés
Physical/Console (Fizikai/konzol)Remote/Network (Távoli/hálózat)
Hivatkozások
Gyártói referencia: www-01.ibm.com
CVE-2010-4591 - NVD CVE-2010-4591
CVE-2010-4592 - NVD CVE-2010-4592
CVE-2010-4593 - NVD CVE-2010-4593
SECUNIA 42703