IBM Storage Seite 3

IBM HTTP Server (Versionen 8.5 und 9.0) ist über das optionale Modul mod_ibm_upload für Denial-of-Service-Angriffe anfällig. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Engineering Lifecycle Management 7.0.3, 7.1.0 und 7.2.0 enthält eine nicht ausreichend geschützte Methode, über die ein Angreifer mit administrativen Rechten remote Code ausführen kann. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Concert (Versionen 1.0.0 bis 2.1.0) weist fehlerhafte Dateiberechtigungen für kritische Ressourcen auf, was einem lokalen Benutzer mit spezifischen Kenntnissen der Systemarchitektur eine Privilegienerweiterung ermöglicht. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM HTTP Server (Versionen 8.5 und 9.0) ist über das optionale Modul mod_mem_cache für Denial-of-Service-Angriffe anfällig. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Dell Elastic Cloud Storage Version 3.8.1.7 und früher sowie Dell ObjectScale in Versionen vor 4.1.0.3 und Version 4.2.0.0 enthalten eine Schwachstelle durch das Schreiben sensibler Informationen in Log-Dateien. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Netezza Performance Server Replication Services 3.0.2.0 bis 3.0.5.0 ermöglicht einem Angreifer mit niedrig privilegiertem Zugang, seine Rechte auf Root-Ebene zu eskalieren. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM WebSphere Application Server Liberty (Versionen 17.0.0.3 bis 26.0.0.1) ermöglicht es einem privilegierten Benutzer, durch das Hochladen eines ZIP-Archivs mit Path-Traversal-Sequenzen bestehende Dateien zu überschreiben. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Tivoli Netcool Impact 7.1.0.0 bis 7.1.0.37 speichert vertrauliche Informationen in Log-Dateien, die von einem lokalen Benutzer gelesen werden können. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM InfoSphere Information Server 11.7.0.0 bis 11.7.1.6 ist anfällig für eine XML External Entity (XXE)-Schwachstelle, über die Angreifer sensible Informationen aus dem System auslesen können. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Der IBM Turbonomic prometurbo Agent 8.16.0 bis 8.17.6 gewährt übermässige cluster-weite Berechtigungen, einschliesslich uneingeschränkten Lesezugriff auf alle Secrets. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In der GLib-Bibliothek wurde ein Heap-basierter Pufferüberlauf in der Funktion g_escape_uri_string() entdeckt, ausgelöst durch eine fehlerhafte Puffergrössenberechnung bei sehr langen Zeichenketten mit vielen nicht codierten Zeichen. Betroffen sind Amazon Linux, Oracle Linux, Rocky Linux sowie IBM Storage. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Installer von IBM Trusteer Rapport 3.5.2309.290 kann ein lokaler Angreifer durch eine unkontrollierte DLL-Suchpfad-Schwachstelle beliebigen Code auf dem System ausführen. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM HTTP Server (Versionen 8.5 und 9.0) enthält eine Buffer-Overflow-Schwachstelle. Ein privilegierter, am Administration Server authentifizierter Angreifer könnte diese ausnutzen, um Remote Code auszuführen oder einen Absturz zu verursachen. CVSS-Basiswert: 8.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM HTTP Server (Versionen 8.5 und 9.0) ist von einem Invalid-Pointer-Dereference-Fehler betroffen. Ein privilegierter, am Administration Server authentifizierter Angreifer könnte diese Schwachstelle ausnutzen, um sensible Informationen offenzulegen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Für IBM Verify Identity Access Container (Versionen 11.0 bis 11.0.2), IBM Security Verify Access Container (Versionen 10.0 bis 10.0.9.1) sowie die entsprechenden Nicht-Container-Varianten wurde eine Sicherheitslücke gemeldet. CVSS-Basiswert: 8.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM InfoSphere Information Server (Versionen 11.7.0.0 bis 11.7.1.6) speichert Benutzeranmeldeinformationen und weitere sensible Daten im Klartext, die von einem lokalen Benutzer ausgelesen werden können. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ein Use-after-free in Windows Storage erlaubt einem berechtigten Angreifer die lokale Rechteausweitung. CVSS-Basiswert: 7.0 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: die von Microsoft bereitgestellten Sicherheitsupdates einspielen.

sshd in OpenSSH 6.2 bis vor 8.8 erlaubt bei bestimmten nicht standardmässigen Konfigurationen eine Rechteausweitung, weil supplemental groups nicht wie erwartet initialisiert werden. Betroffen sind Hilfsprogramme, die von sshd ausgeführt werden. CVSS-Basiswert: 7.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf OpenSSH 8.8 oder neuer.

In IBM WebSphere eXtreme Scale 8.6.1.0 bis 8.6.1.6 rufen etwa 50 generierte CORBA-Stub-Klassen in ogclient.jar ORB.string_to_object() auf einer vom Angreifer kontrollierten IOR-Zeichenkette auf. CVSS-Basiswert: 6.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 3.4 %. Empfohlene Massnahme: Auf eine von IBM bereitgestellte, korrigierte Version aktualisieren.

In der GNU C Library (glibc) wurde eine Schwachstelle identifiziert. In einer äusserst seltenen Situation kann die Funktion getaddrinfo auf bereits freigegebenen Speicher zugreifen, was zu einem Absturz der Anwendung führt. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.4 %. Empfohlene Massnahme: die von den betroffenen Herstellern und Distributionen bereitgestellte aktualisierte glibc-Version einspielen.

IBM WebSphere Application Server 9.0 und 8.5 könnten einem entfernten Angreifer ermöglichen, über das integrierte Hilfesystem der Administrationskonsole an schützenswerte Informationen zu gelangen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die von IBM bereitgestellten Sicherheitsaktualisierungen einspielen.

IBM watsonx.data intelligence 5.2.0, 5.2.1, 5.2.2 und 5.3.0 könnte einem authentifizierten Benutzer über eine speziell präparierte HTTP-Anfrage aufgrund einer unsachgemäßen Ressourcenzuweisung einen temporären Denial of Service ermöglichen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

IBM Db2 11.5.0 bis 11.5.9 und 12.1.0 bis 12.1.4 für Linux, UNIX und Windows (inklusive Db2 Connect Server) kann einem authentifizierten Benutzer aufgrund unzureichender Neutralisierung einen Denial of Service ermöglichen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: betroffene Versionen gemäss IBM-Advisory aktualisieren.

IBM watsonx.data intelligence in den Versionen 5.2.0, 5.2.1, 5.2.2 und 5.3.0 ist anfällig für HTML-Injection. Ein entfernter Angreifer könnte bösartigen HTML-Code einschleusen, der beim Betrachten im Webbrowser des Opfers ausgeführt wird. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

IBM watsonx.data intelligence in den Versionen 5.2.0, 5.2.1, 5.2.2 und 5.3.0 könnte einem entfernten Angreifer die Erlangung sensibler Informationen ermöglichen, wenn eine detaillierte technische Fehlermeldung im Browser zurückgegeben wird. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In IBM watsonx.data intelligence 5.2.0, 5.2.1, 5.2.2 und 5.3.0 kann ein authentifizierter Benutzer Sicherheitskontrollen umgehen und unautorisierte Aktionen ausführen, weil serverseitige Sicherheitsprüfungen clientseitig durchgesetzt werden. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: betroffene Versionen gemäss IBM-Advisory aktualisieren.

IBM WebSphere Application Server 9.0 und 8.5 sowie WebSphere Application Server Liberty 17.0.0.3 bis 26.0.0.6 sind anfällig für einen Denial of Service, ausgelöst durch eine speziell präparierte Anfrage. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

IBM Db2 11.5.0 bis 11.5.9 sowie 12.1.0 bis 12.1.4 für Linux, UNIX und Windows (inklusive Db2 Connect Server) könnte einem authentifizierten Nutzer über die Monitoring-Funktion sensible Informationen offenlegen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Die von IBM bereitgestellten Fixes einspielen.

IBM watsonx.data intelligence 5.2.0, 5.2.1, 5.2.2 und 5.3.0 könnten einem authentifizierten Benutzer unautorisierte Aktionen erlauben, da die verhaltensbasierte Workflow-Durchsetzung nicht ordnungsgemäss erfolgt. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Verfügbaren IBM-Fix einspielen.

IBM WebSphere Application Server und IBM WebSphere Application Server Liberty sind über die WebServer-Plug-in-Komponente anfällig für einen Denial of Service, wenn ein Angreifer eine speziell gestaltete Anfrage übergeben kann. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

IBM watsonx.data intelligence in den Versionen 5.2.0, 5.2.1, 5.2.2 und 5.3.0 ist für Server-Side Request Forgery (SSRF) anfällig. Dies kann einem authentifizierten Angreifer erlauben, unautorisierte Anfragen vom System aus zu senden. Betroffen ist IBM Storage. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

IBM WebSphere eXtreme Scale 8.6.1.0 bis 8.6.1.6 könnte einem benachbarten Angreifer durch fehlerhafte Validierung im XDF-Decoder einen Denial of Service ermöglichen; die Anwendung verarbeitet tief verschachtelte Strukturen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf eine von IBM bereitgestellte, korrigierte Version aktualisieren.

IBM watsonx.data intelligence in den Versionen 5.2.0, 5.2.1, 5.2.2 und 5.3.0 ist anfällig für Stored Cross-Site Scripting. Ein authentifizierter Benutzer kann beliebigen JavaScript-Code in die Web-Oberfläche einbetten. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In IBM Db2 on Cloud Pak for Data sowie Db2 Warehouse on Cloud Pak for Data (Versionen 4.8, 5.0, 5.1, 5.2, 5.3) kann ein authentifizierter Benutzer beim Anlegen neuer Datenbanken einen Denial of Service auslösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

IBM UrbanCode Deploy 7.3 bis 7.3.2.18 sowie IBM DevOps Deploy 8.0 bis 8.0.1.13, 8.1 bis 8.1.2.6 und 8.2 bis 8.2.1.0 könnten sensible Konfigurationsdaten offenlegen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die vom Hersteller bereitgestellte fehlerbereinigte Version einspielen.

IBM watsonx.data intelligence (Versionen 5.2.0, 5.2.1, 5.2.2, 5.3.0) ist anfällig für Cross-Site-Scripting: Ein authentifizierter Nutzer kann beliebigen JavaScript-Code in die Web-Oberfläche einbetten und so die vorgesehene Funktionalität verändern. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbaren Hersteller-Fix von IBM einspielen.

IBM watsonx.data intelligence (5.2.2, 5.3.0, 5.3.1 sowie 5.3.1 bis patch-1) überträgt Daten im Klartext, wodurch ein Angreifer mittels Man-in-the-Middle-Techniken sensible Informationen erlangen könnte. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

IBM watsonx.data intelligence in den Versionen 5.2.0, 5.2.1, 5.2.2 und 5.3.0 überträgt Daten im Klartext, wodurch ein Angreifer mittels Man-in-the-Middle-Techniken sensible Informationen erlangen könnte. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das IBM Watson Speech Services Cartridge ist über den Sterling File Gateway für Server-Side Request Forgery (SSRF) anfällig; ein Fehler erlaubt es einem authentifizierten Angreifer, unautorisierte Anfragen zu senden. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

IBM Db2 on Cloud Pak for Data und Db2 Warehouse on Cloud Pak for Data in den Versionen 4.8, 5.0, 5.1, 5.2 und 5.3 könnten einem privilegierten Nutzer erlauben, Operationen durchzuführen und sensible Informationen ausserhalb des vorgesehenen Bereichs zu erhalten. CVSS-Basiswert: 6.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: betroffene IBM-Db2-Version gemäss Herstelleradvisory aktualisieren.

IBM Db2 on Cloud Pak for Data und Db2 Warehouse on Cloud Pak for Data in den Versionen 4.8, 5.0, 5.1, 5.2 und 5.3 könnten es einem authentifizierten Nutzer erlauben, die clientseitige Validierung zu umgehen und Eingabedaten zu manipulieren. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbare Sicherheitsupdates von IBM einspielen.

IBM App Connect Enterprise (13.0.1.0 bis 13.0.7.2 sowie 12.0.1.0 bis 12.0.12.26) und IBM Integration Bus for z/OS (10.1.0.0 bis 10.1.0.7) sind für SQL-Injection anfällig. Ein entfernter Angreifer könnte dies ausnutzen. Als betroffen ausgewiesen sind IBM Storage und Ivanti (Pulse/Connect Secure). CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

IBM Engineering Workflow Management ist in den Versionen 7.0.2 (bis Interim Fix 035), 7.0.3 (bis Interim Fix 017) und 7.1 (bis Interim Fix 004) für eine HTTP-Header-Injection anfällig, verursacht durch unzureichende Prüfung von Eingaben. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: den vom Hersteller bereitgestellten Interim Fix einspielen.

IBM Datacap 9.1.7, 9.1.8 und 9.1.9 sowie IBM Datacap Navigator 9.1.7, 9.1.8 und 9.1.9 sind anfällig für Cross-Site-Scripting. Ein nicht authentifizierter Angreifer kann beliebigen JavaScript-Code einbetten. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Die von IBM bereitgestellten Fixes einspielen.

IBM TRIRIGA Application Platform in den Versionen 5.0.2 bis 5.0.3 ist anfällig für Cross-Site-Scripting. Ein authentifizierter Benutzer kann beliebigen JavaScript-Code in die Web-Oberfläche einbetten und dadurch deren Darstellung verändern. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das bereitgestellte IBM-Update einspielen.

IBM UrbanCode Deploy bzw. IBM DevOps Deploy 8.1 bis 8.1.2.6 und 8.2 bis 8.2.1.0 verwendet eine fehlerhafte Cross-Origin-Resource-Sharing-Konfiguration (CORS), über die ein Angreifer privilegierte Aktionen ausführen und sensible Informationen abrufen könnte. Zur Ausnutzung ist eine Benutzerinteraktion erforderlich. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Hersteller-Advisory beachten und ein bereitgestelltes Update einspielen.

IBM DevOps Plan 3.0.0 bis 3.0.6 ist durch unzureichende Validierung der HOST-Header anfällig für HTTP-Header-Injection. Dies könnte einem Angreifer verschiedene Angriffe ermöglichen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf eine vom Hersteller bereinigte Version aktualisieren.

IBM Datacap 9.1.7, 9.1.8 und 9.1.9 sowie IBM Datacap Navigator 9.1.7, 9.1.8 und 9.1.9 erlauben es einem Angreifer, Benutzerpasswörter und kryptografische Schlüssel aus dem Speicher auszulesen. Die erlangten Schlüssel können anschliessend weiterverwendet werden. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das bereitgestellte IBM-Update einspielen.

Im Linux-Kernel wurde eine Schwachstelle im BPF Local Storage behoben: Das Löschen von Local Storage in einem NMI-Kontext konnte zu einem Deadlock beim verzögerten Freigeben führen; entsprechende Löschvorgänge werden im NMI-Kontext nun unterbunden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Der Fix wird über die Kernel-Pakete der betroffenen Distributionen verteilt; das bereitgestellte Update sollte eingespielt werden.

IBM Engineering Workflow Management 7.0.3 bis 7.0.3 Interim Fix 020 sowie 7.1 bis 7.1 Interim Fix 007 ist anfällig für Cross-Site-Scripting. Ein authentifizierter Benutzer kann dadurch schädlichen Code einschleusen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: den vom Hersteller bereitgestellten Interim Fix bzw. eine korrigierte Version einspielen.