IBM Cognos Express sérülékenységei

CH azonosító

CH-10776

Angol cím

IBM Cognos Express Weakness and Multiple Vulnerabilities

Felfedezés dátuma

2014.03.20.

Súlyosság

Magas

Érintett rendszerek

Cognos Express
IBM

Érintett verziók

IBM Cognos Express 10.x
IBM Cognos Express 9.x

Összefoglaló

Az IBM Cognos Express sérülékenységei váltak ismertté, amelyeket kihasználva  a támadók bizalmas adatokat fedhetnek fel, cross-site request forgery támadásokat hajthatnak végre, szolgáltatás megtagadást idézhetnek elő és feltörhetik a sérülékeny rendszert.

Leírás

 

  1. Az alkalmazás lehetővé teszi a felhasználó számára, hogy HTTP kéréseken keresztül végezzen el bizonyos műveleteket a jogosultság megfelelő ellenőrzése nélkül. Ez kihasználható pl. bizonyos adminisztratív műveletek elvégzésére, amikor a bejelentkezett felhasználó meglátogat egy kártékony weboldalt.
  2. Egy nem részletezett, szerverrel kapcsolatos hiba kihasználható titkosított bejelentkezési adatok felfedésére.
  3. Az alkalmazás egy statikus titkosító kulcsot használ. Ez kihasználható bizalmas, titkosított adatok visszafejtésére.

    Az #1 – #3 sérülékenységek a 9.0, 9.5, 10.1 és 10.1.2 verziókat érintik.

  4. Az alkalmazás az IBM Java egy sérülékeny verzióját használja.
    További információ az alábbi hivatkozásokon található:
    SA52064 (#2, #5)
    SA53846 (#20, #34)
  5. Az alkalmazás az OpenSSL egy sérülékeny verzióját használja.
    SA52036 (#1)

A 4, #5 sérülékenységek a 9.0, 9.5 és a 10.1 verziókat érintik.

Megoldás

Telepítse a javítócsomagokat