Vulnérabilités dans IBM Spectrum Protect

Date de publication :

Plusieurs vulnérabilités ont été découvertes dans IBM Spectrum Protect, anciennement nommé IBM Tivoli Storage Manager. Elles peuvent permettre à un attaquant local et authentifié d'exécuter du code arbitraire ou à un attaquant authentifié et à distance de causer un déni de service.

CVE-2019-4154, CVE-2019-4322 [Score CVSS v3 : 8.4] : IBM DB2, un gestionnaire de base de données utilisé par IBM Spectrum Protect, est vulnérable à un débordement de tampon (buffer overflow) ce qui peut permettre à un attaquant local et authentifié d’exécuter du code arbitraire en tant que superadministrateur (root).

CVE-2019-4386 [Score CVSS v3 : 6.5] : IBM DB2 peut permettre à un utilisateur authentifié d’exécuter une fonction qui peut faire planter le serveur, causant ainsi un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Déni de service

Criticité

  • Score CVSS v3 : 8.4 max

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement pour l’instant

Composants vulnérables

  • IBM Spectrum Protect versions 8.1.x jusqu’à la 8.1.9
  • IBM Spectrum Protect versions 7.1.x jusqu’à la 7.1.10

CVE

  • CVE-2019-4154
  • CVE-2019-4322
  • CVE-2019-4386

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour IBM Spectrum Protect vers une version non vulnérable (8.1.9 ou supérieure, 7.1.10 ou supérieure)

Solution de contournement

  • Aucune solution de contournement n’est disponible 

Liens