Vulnérabilités dans le système de protection des données IBM Spectrum Protect

Plusieurs vulnérabilités critiques ont été découvertes dans des composants du système de protection des données IBM Spectre Protect Plus. Les sources de ce bulletin détaillent un plus grand nombre de vulnérabilités qu’il n’en est traité ici dans un souci d’ergonomie du bulletin. Néanmoins, les correctifs de sécurité à appliquer sont identiques à ceux mentionnés dans ce bulletin. L’intégralité des vulnérabilités traitées sont disponibles dans le lien sous l’onglet “Références”.

CVE-2020-4854[Score CVSS v3 : 7.5] : Le programme IBM Spectrum Protect Plus (v10.1.0 - v10.1.6) contient des identifiants de connexion (logins, mots de passe et clés cryptographiques) en « dur » dans le code source. Ces identifiants peuvent permettre à un attaquant distant et non-authentifié d'élever ses privilèges sur la machine vulnérable.

CVE-2020-15801[Score CVSS v3 : 9.8] : Le gestionnaire de fichier Windows d’IBM Spectrum Protect Plus v10.1.6 est basé en partie sur le langage python. Une vulnérabilité au sein de ce dernier peut permettre à un attaquant local et non-authentifié d'exécuter du code arbitraire sur la machine vulnérable.

CVE-2020-14062, CVE-2020-14061, CVE-2020-14060, CVE-2020-24750
[Score CVSS v3 : 8.1] : Dans IBM Spectrum Protect Plus (v10.1.0 - v10.1.6), l’outil FasterXML jackson databind souffre d’un manque de vérification des requêtes XML lors de leur désérialisation. Cette faille peut permettre à un attaquant distant et non-authentifié d’exécuter du code arbitraire sur les machines vulnérables. 

CVE-2020-24616, CVE-2020-14195 [Score CVSS v3 : 9.8] : Dans IBM Spectrum Protect Plus (v10.1.0 - v10.1.6), l’outil FasterXML jackson databind souffre d’un manque de vérification des requêtes XML lors de leur désérialisation. Cette faille peut permettre à un attaquant distant et non-authentifié d’exécuter du code arbitraire sur les machines vulnérables. 

CVE-2020-10683[Score CVSS v3 : 9.4] : Une vérification incorrect par Domj des requêtes XML adressé à IBM Spectrum Protect Plus (v7.1.0 - 7.1.11 & v8.1.0 - v8.1.10) peut permettre à un attaquant distant et non-authentifié d’obtenir des information sensibles par l’envoi de requêtes XML spécialement conçues.

CVE-2020-4363[Score CVSS v3 : 8.4] : Une vulnérabilité a été découverte dans IBM DB2, elle est due à une mauvaise vérification de la taille d’une variable lors de son assignation, ce qui peut mener à un débordement de tampon. Cette faille peut permettre à attaquant local et non-authentifié d'exécuter du code arbitraire avec le privilège ‘root’ sur les machines vulnérables. 

CVE-2019-17571[Score CVSS v3 : 9.8] : Dans IBM Spectrum Protect Plus (v8.1.0 - v8.1.10), l’outil  Apache Log4j souffre d’un manque de vérification des requêtes javascript lors de leur désérialisation. Cette faille peut permettre à un attaquant distant et non-authentifié d’exécuter du code arbitraire sur les machines vulnérables.