Vulnérabilités dans IBM Spectrum Protect
Date de publication :
Plusieurs vulnérabilités ont été découvertes dans IBM Spectrum Protect, anciennement nommé IBM Tivoli Storage Manager. Elles peuvent permettre à un attaquant local et authentifié d'exécuter du code arbitraire ou à un attaquant authentifié et à distance de causer un déni de service.
CVE-2019-4154, CVE-2019-4322 [Score CVSS v3 : 8.4] : IBM DB2, un gestionnaire de base de données utilisé par IBM Spectrum Protect, est vulnérable à un débordement de tampon (buffer overflow) ce qui peut permettre à un attaquant local et authentifié d’exécuter du code arbitraire en tant que superadministrateur (root).
CVE-2019-4386 [Score CVSS v3 : 6.5] : IBM DB2 peut permettre à un utilisateur authentifié d’exécuter une fonction qui peut faire planter le serveur, causant ainsi un déni de service.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Exécution de code arbitraire
- Déni de service
Criticité
- Score CVSS v3 : 8.4 max
Existence d’un code d’exploitation
- Aucun code d’exploitation n’est disponible publiquement pour l’instant
Composants vulnérables
- IBM Spectrum Protect versions 8.1.x jusqu’à la 8.1.9
- IBM Spectrum Protect versions 7.1.x jusqu’à la 7.1.10
CVE
- CVE-2019-4154
- CVE-2019-4322
- CVE-2019-4386
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour IBM Spectrum Protect vers une version non vulnérable (8.1.9 ou supérieure, 7.1.10 ou supérieure)
Solution de contournement
Aucune solution de contournement n’est disponible