IBM corrige plusieurs vulnérabilités critiques dans divers produits

IBM a publié 36 bulletins de sécurité sur ses produits, entre le 29 octobre et le 2 novembre. Parmi ceux-ci, 26 sont de priorité élevée, 1 est de priorité faible et le reste est de priorité moyenne.

Plusieurs bulletins sont consacrés à SONAS, un serveur NAS proposé par IBM. On y trouve notamment 33 vulnérabilités corrigées sur Firefox dont certaines critiques, le logiciel étant fourni de base avec le serveur. Un code d'exploitation pour l'une des vulnérabilités (CVE-2018-5159) est publiquement disponible. Son utilisation permettrait d'entraîner un déni de service.

FlexSystem, BladeCenter et RackSwitch sont touchés par la vulnérabilité CVE-2017-1000158 sur l'interpréteur CPython qui a pour score CVSS 9.8. Elle avait été rendue publique en avril 2017. Celle-ci est liée à un dépassement d'entier dont l'exploitation pourrait entraîner une exécution de code à distance. Un PoC est disponible à cette adresse. Cette vulnérabilité avait été également corrigée sur d'autres produits dans des mises à jour publiées la semaine dernière.

On notera également deux vulnérabilités spécifiques aux produits IBM, référencées comme suit :

  • CVE-2018-1822 [CVSS 9.8] : Une vulnérabilité sur IBM FlashSystem dont l'exploitation permettrait de contourner la procédure d'authentification et de changer le mot de passe du super utilisateur. Un attaquant pourrait donc obtenir le contrôle total du système. L'exploitation de cette vulnérabilité peut se faire à distance, est peu complexe à mettre en place et son impact estimé sur l'intégrité, la confidentialité et la disponibilité des données est élevé. Elle ne requiert ni interaction utilisateur ni privilèges.
  • CVE-2018-1364 [CVSS 8.2] : Une vulnérabilité sur IBM Content Navigator, plus particulièrement sur le traitement des fichiers XML. L'application est en effet vulnérable à une attaque par injection XML. Un attaquant pourrait l'exploiter pour avoir accès à des informations confidentielles ou encore consommer des ressources mémoires sur la machine. L'attaque peut être réalisée à distance, est peu complexe à mettre en œuvre et ne requiert ni privilèges ni interaction utilisateur. Elle n'a aucun impact sur l’intégrité des données, a un impact faible sur la disponibilité et affecte grandement la confidentialité.

De manière générale, les vulnérabilités portent sur les produits suivants :

  • IBM Integration Designer
  • IBM Spectrum Scale
  • IBM Spectrum Protect
  • IBM Content Collector
  • FlashSystem
  • IBM Robotic Process Automation
  • IBM WebSphere Application Server
  • IBM BladeCenter
  • IBM Flex System
  • IBM RackSwitch
  • ViewONE
  • IBM Rational Quality Manager
  • IBM MobileFirst Platform Foundation
  • IBM SONAS
  • IBM Rational Engineering Lifecycle Manager
  • IBM API Connect
  • IBM Cognos Command Center
  • IBM Web Experience Factory
  • IBM Business Automation Workflow
  • IBM BPM
  • IBM Netezza Host Management
  • IBM WebSphere Application Server
  • IBM Tivoli
  • IBM Lotus Protector

Afin de mettre à jour les différents produits affectés, les utilisateurs sont invités à se référer aux bulletins de vulnérabilité IBM correspondants.