Vulnérabilités dans les produits IBM Spectrum Protect

Date de publication :

De multiples vulnérabilités ont été découvertes dans la gamme des produits Spectrum Protect d’IBM. Un attaquant peut exécuter du code arbitraire, causer un déni de service ou encore élever son niveau de privilèges.

CVE-2020-1938 [Score CVSS v3 : 9.8] : Une vulnérabilité de type exécution de code arbitraire (Ghostcat) a été découverte dans le composant Apache Tomcat utilisé par IBM Spectrum Protect Plus. Un attaquant distant non-authentifié peut obtenir le code source des pages web distribuées sur le serveur ainsi qu’envoyer son propre code arbitraire à exécuter.

CVE-2020-2604 [Score CVSS v3 : 8.1] : Une vulnérabilité a été découverte dans le composant Java SE utilisé par IBM Spectrum Protect Plus. Un attaquant distant non-authentifié peut prendre le contrôle du système vulnérable via un bogue non-spécifié.

CVE-2019-4732 [Score CVSS v3 : 7.2] : Une vulnérabilité de type exécution de code arbitraire a été découverte dans le composant IBM Java SDK utilisé par IBM Spectrum Protect. Un attaquant local authentifié peut exécuter du code arbitraire via l’ajout d’un fichier DLL dans un dossier spécifique du système.

CVE-2019-17631 [Score CVSS v3 : 8.4] : Une vulnérabilité de type élévation de privilèges a été découverte dans le composant Eclipse OpenJ9 utilisé par IBM Spectrum Protect. Un attaquant local authentifié peut accéder à des opérations de diagnostic normalement inaccessibles via l’exploitation d’un manquement de vérification d’autorisation lors de l’appel à certaines fonctionnalités.

CVE-2020-4469 [Score CVSS v3 : 8.1] : Une vulnérabilité de type exécution de code arbitraire a été découverte dans IBM Spectrum Protect Plus. Un attaquant distant non-authentifié peut exécuter du code arbitraire via une requête HTTP spécialement conçue. Il s’agit d’une conséquence d’un mauvais correctif pour CVE-2020-4211.

CVE-2020-4470 [Score CVSS v3 : 7.1] : Une vulnérabilité de type exécution de code arbitraire a été découverte dans la console d’administration de IBM Spectrum Protect Plus. Un attaquant distant authentifié peut envoyer des fichiers arbitraires au serveur vulnérable, pouvant résulter en une exécution de code arbitraire.

CVE-2020-4135 [Score CVSS v3 : 7.5] : Une vulnérabilité de type déni de service a été découverte dans le composant IBM DB2 utilisé par IBM Spectrum Protect Server. Un attaquant distant non-authentifié peut causer une consommation excessive de mémoire via l’envoi de paquets spécialement conçus, résultant en une situation de déni de service.

CVE-2020-4204 [Score CVSS v3 : 8.4] : Une vulnérabilité de type dépassement de tampon a été découverte dans le composant IBM DB2 utilisé par IBM Spectrum Protect Server. Un attaquant local non-authentifié pour exécuter du code arbitraire voir causer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire
  • Déni de service
  • Elévation de privilèges

Criticité

  • Score CVSS v3 : 9.8 maximum

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • IBM Spectrum Protect Plus de la version 10.1.0 à 10.1.5 (incluses)
  • IBM Spectrum Protect Server de la version 8.1.0.000 à 8.1.9.300 (incluses)

CVE

  • CVE-2020-1938
  • CVE-2020-2604
  • CVE-2019-4732
  • CVE-2019-17631
  • CVE-2020-4469
  • CVE-2020-4470
  • CVE-2020-4135
  • CVE-2020-4204

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour le produit concerné vers une version non-vulnérable (voir la section “Composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens