Vulnérabilités dans IBM Spectrum Protect

Date de publication :

Plusieurs vulnérabilités ont été découvertes dans IBM Spectrum Protect, anciennement nommé IBM Tivoli Storage Manager. Elles peuvent permettre à un attaquant local et authentifié d'exécuter du code arbitraire ou à un attaquant authentifié et à distance de causer un déni de service.

CVE-2019-4154, CVE-2019-4322 [Score CVSS v3 : 8.4] : IBM DB2, un gestionnaire de base de données utilisé par IBM Spectrum Protect, est vulnérable à un débordement de tampon (buffer overflow) ce qui peut permettre à un attaquant local et authentifié d’exécuter du code arbitraire en tant que superadministrateur (root).



CVE-2019-4386 [Score CVSS v3 : 6.5] : IBM DB2 peut permettre à un utilisateur authentifié d’exécuter une fonction qui peut faire planter le serveur, causant ainsi un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

    Déni de service

Criticité

    Score CVSS v3 : 8.4 max

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible publiquement pour l’instant

Composants vulnérables

    IBM Spectrum Protect versions 8.1.x jusqu’à la 8.1.9

    IBM Spectrum Protect versions 7.1.x jusqu’à la 7.1.10

CVE

    CVE-2019-4154

    CVE-2019-4322

    CVE-2019-4386

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour IBM Spectrum Protect vers une version non vulnérable (8.1.9 ou supérieure, 7.1.10 ou supérieure)

Solution de contournement

  • Aucune solution de contournement n’est disponible 

Liens