IBM InfoSphere sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

IBM InfoSphere 8.7, 9.1, 11.3, 11.5

Összefoglaló

Az IBM InfoSphere Information Server és IBM InfoSphere DataStage közepes kockázati besorolású sérülékenységei váltak ismertté, amelyeket kihasználva cross-site scripting támadás (CSS) indítható. A sérülékenységeket kiküszöbölő megoldás már beszerezhető a gyártótól.

Leírás

Az IBM InfoSphere Information Server nem ellenőrzi helyesen a CSS kódot. A támadó úgy tudja kihasználni a sérülékenységet, hogy ‘qirks’ módban fordítja le az oldalt a tetszőleges CSS kóddal, ami tartalmazhat káros script kódot is. A célpont böngészőjében a káros kód az IBM InfoSphere Information Server jogosultságaival megegyezően fut le, amivel a támadó megszerezheti a célpont sütijeit (a belépésre jogosítókat is), majd a célpont nevében tevékenykedhet.

Az IBM InfoSphere DataStage nem ellenőrzi helyesen a beküldött HTML kódot, mielőtt megjeleníti azt. A távoli támadó a sérülékenységet kihasználva káros script kódot futtathat a célpont böngészőjében. A káros kód az IBM InfoSphere DataStage jogosultságaival megegyezően fut le, amivel a támadó megszerezheti a célpont sütijeit (a belépésre jogosítókat is), majd a célpont nevében tevékenykedhet.

Megoldás

Telepítse a javítócsomagokat: APAR JR56946, APAR JR56951

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: www.securitytracker.com
Gyártói referencia: www.securitytracker.com
CVE-2016-8999 - NVD CVE-2016-8999
CVE-2016-9000 - NVD CVE-2016-9000