IBM Storage Seite 4

IBM Storage Protect Server 8.2.0 und IBM Storage Protect Plus Server sind anfällig für SQL-Injection. Ein entfernter Angreifer könnte speziell gestaltete SQL-Anweisungen senden und dadurch Daten einsehen, hinzufügen, ändern oder löschen. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Linux-Kernel wurde eine Schwachstelle im BPF-Code behoben: Beim Kopieren eines Elements aus einer BPF_MAP_TYPE_CGROUP_STORAGE-Map in eine andere trat in pcpu_init_value ein Out-of-Bounds-Lesezugriff auf. Betroffen sind die Kernel-Pakete der aufgeführten Distributionen, für Ubuntu dokumentiert in mehreren Security Notices (u. a. USN-8566-1 bis USN-8569-1 sowie USN-8574-1). CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom jeweiligen Distributor bereitgestellten Kernel-Aktualisierungen einspielen.

IBM Tivoli Netcool Impact 7.1.0.0 bis 7.1.0.37 speichert vertrauliche Informationen in Log-Dateien, die von einem lokalen Benutzer gelesen werden können. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Hitachi Storage Navigator und der Wartungskonsole mehrerer Hitachi Virtual Storage Platform-Modelle (G130, G150, G350, G370, G700, G900, F350, F370, F700, F900 u. a.) wurde eine Schwachstelle zur Ausführung von Remotecode (Remote Code Execution) bekannt. CVSS-Basiswert: 8.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In IBM Sterling B2B Integrator und IBM Sterling File Gateway (Versionen 6.1.0.0 bis 6.2.2.0) können nicht authentifizierte Angreifer auf schützenswerte Informationen zugreifen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Dell Elastic Cloud Storage Version 3.8.1.7 und früher sowie Dell ObjectScale in Versionen vor 4.1.0.3 und Version 4.2.0.0 enthalten eine Schwachstelle durch das Schreiben sensibler Informationen in Log-Dateien. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

IBM Total Storage Service Console (TSSC) und TS4500 IMC in den Versionen 9.2, 9.3, 9.4, 9.5 und 9.6 ermöglicht einem nicht authentifizierten Benutzer die Ausführung beliebiger Befehle mit normalen Benutzerrechten auf dem System. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In IBM i 7.6 kann ein entfernter Angreifer durch fehlgeschlagene Authentifizierungsverbindungen einen Denial-of-Service-Zustand herbeiführen, da Ressourcen nicht korrekt zugeteilt werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In IBM Business Automation Workflow (Containers und Traditional, mehrere Versionen) wurde eine Sicherheitslücke gemeldet. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In IBM InfoSphere Optim Test Data Fabrication (Versionen 1.0.0 bis 1.0.2.7) kann ein entfernter Angreifer durch eine Path-Traversal-Schwachstelle auf Verzeichnisse ausserhalb des vorgesehenen Bereichs zugreifen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

IBM Aspera High-Speed Transfer Endpoint 3.7.4 bis 4.4.7 Fix Pack 1 sowie IBM Aspera High-Speed Transfer Server 3.7.4 bis 4.4.7 Fix Pack 1 sind laut Quelle von einer Schwachstelle betroffen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

IBM Aspera High-Speed Transfer Endpoint und IBM Aspera High-Speed Transfer Server sind in den Versionen 3.7.4 bis 4.4.7 Fix Pack 1 von einer Schwachstelle betroffen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Für IBM Verify Identity Access Container (Versionen 11.0 bis 11.0.2), IBM Security Verify Access Container (Versionen 10.0 bis 10.0.9.1) sowie die entsprechenden Nicht-Container-Varianten wurde eine Sicherheitslücke gemeldet. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im E-Kent Pallium Vehicle Tracking System wurden hartcodierte Zugangsdaten sowie unsichere Speicherung sensibler Daten festgestellt, die einen Authentication Bypass ermöglichen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Aspera Console 3.4.0 bis 3.4.8 ist anfällig für SQL-Injection. Ein entfernter Angreifer könnte speziell gestaltete SQL-Anweisungen senden und dadurch Daten einsehen, hinzufügen, ändern oder löschen. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In der Verwaltungsoberfläche (Wartungshilfsprogramm) von Hitachi Virtual Storage Platform One Block 23, 24, 26 und 28 wurde eine OS Command Injection-Schwachstelle bekannt. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In IBM QRadar 7.5.0 bis 7.5.0 UP15 Interim Fix 002 könnte ein privilegierter Benutzer ein bösartiges Backup-Archiv hochladen, das bei der Wiederherstellung genutzt werden kann, um Zugriff auf das zugrunde liegende Betriebssystem zu erlangen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: den vom Hersteller bereitgestellten Fix einspielen.

IBM WebSphere Application Server Liberty 17.0.0.3 bis 26.0.0.4 ist unter eingeschränkten Bedingungen anfällig für Identity Spoofing, wenn eine Anwendung in der betroffenen Umgebung bereitgestellt wird. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Sterling B2B Integrator und IBM Sterling File Gateway (Versionen 6.1.0.0 bis 6.2.2.0) erlauben einem nicht authentifizierten Angreifer aus der Ferne, sensible Informationen einzusehen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM DataStage on Cloud Pak for Data 5.1.2 bis 5.3.0 gibt sensible Informationen in HTTP-Antworten zurück, die zur Identitätsübernahme anderer Systembenutzer missbraucht werden könnten. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Db2 11.5.0 bis 11.5.9 sowie 12.1.0 bis 12.1.4 ist anfällig für einen Denial-of-Service-Angriff durch eine speziell präparierte Abfrage, wenn autonome Transaktionen aktiviert sind. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Controller 11.0.1, 11.1.0, 11.1.1 und 11.1.2 enthält fest einprogrammierte Zugangsdaten (z. B. Passwort oder kryptografischen Schlüssel), die für die eigene Authentifizierung und externe Kommunikation verwendet werden. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In mehreren Versionen von IBM Verify Identity Access Container (11.0–11.0.2), IBM Security Verify Access Container (10.0–10.0.9.1) sowie den entsprechenden nicht-Container-Varianten wurde eine Sicherheitslücke gemeldet. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM DataStage on Cloud Pak for Data ermöglicht einem authentifizierten Benutzer die Ausführung beliebiger Befehle und den Zugriff auf sensible Informationen aufgrund uneingeschränkter Dateiuploads. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Operations Analytics – Log Analysis und IBM SmartCloud Analytics – Log Analysis verwenden Standard-Passwörter aus dem Herstellungsprozess, die auch nach der Installation aktiv bleiben. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Concert (Versionen 1.0.0 bis 2.1.0) weist fehlerhafte Dateiberechtigungen für kritische Ressourcen auf, was einem lokalen Benutzer mit spezifischen Kenntnissen der Systemarchitektur eine Privilegienerweiterung ermöglicht. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM Netezza Performance Server Replication Services 3.0.2.0 bis 3.0.5.0 ermöglicht einem Angreifer mit niedrig privilegiertem Zugang, seine Rechte auf Root-Ebene zu eskalieren. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM WebSphere Application Server Liberty (Versionen 17.0.0.3 bis 26.0.0.1) ermöglicht es einem privilegierten Benutzer, durch das Hochladen eines ZIP-Archivs mit Path-Traversal-Sequenzen bestehende Dateien zu überschreiben. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM InfoSphere Information Server 11.7.0.0 bis 11.7.1.6 ist anfällig für eine XML External Entity (XXE)-Schwachstelle, über die Angreifer sensible Informationen aus dem System auslesen können. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Der IBM Turbonomic prometurbo Agent 8.16.0 bis 8.17.6 gewährt übermässige cluster-weite Berechtigungen, einschliesslich uneingeschränkten Lesezugriff auf alle Secrets. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In der GLib-Bibliothek wurde ein Heap-basierter Pufferüberlauf in der Funktion g_escape_uri_string() entdeckt, ausgelöst durch eine fehlerhafte Puffergrössenberechnung bei sehr langen Zeichenketten mit vielen nicht codierten Zeichen. Betroffen sind Amazon Linux, Oracle Linux, Rocky Linux sowie IBM Storage. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Installer von IBM Trusteer Rapport 3.5.2309.290 kann ein lokaler Angreifer durch eine unkontrollierte DLL-Suchpfad-Schwachstelle beliebigen Code auf dem System ausführen. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM InfoSphere Information Server (Versionen 11.7.0.0 bis 11.7.1.6) speichert Benutzeranmeldeinformationen und weitere sensible Daten im Klartext, die von einem lokalen Benutzer ausgelesen werden können. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Pronetiqs IntraVUE bis einschliesslich Version 3.2.1a14 werden Passwörter im Klartext gespeichert. Dadurch können Zugangsdaten über die API im Klartext offengelegt werden. CVSS-Basiswert: 7.5 (Hoch).

Rclone ist ein Kommandozeilenprogramm zum Synchronisieren von Dateien und Verzeichnissen mit verschiedenen Cloud-Storage-Anbietern. Vor Version 1.74.4 serialisiert rclone bei Verwendung der Option -l/--links Symlinks als .rclonelink-Textobjekte. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Ausnutzungswahrscheinlichkeit liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Dell ECS in den Versionen 3.8.1.0 bis 3.8.1.7 sowie Dell ObjectScale vor 4.2.0.0 enthalten eine Schwachstelle durch Verwendung von Standard-Zugangsdaten auf Betriebssystemebene. Ein Angreifer mit geringen Rechten und entferntem Zugriff kann dies potenziell ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine bereinigte Dell-ECS- beziehungsweise ObjectScale-Version aktualisieren.

In Dell ECS, Versionen 3.8.1.0 bis 3.8.1.7, sowie Dell ObjectScale, Versionen vor 4.2.0.0, besteht eine Schwachstelle durch Klartextübertragung sensibler Informationen. Ein nicht authentifizierter Angreifer mit Fernzugriff könnte diese Schwachstelle ausnutzen, was zur Offenlegung von Informationen führen kann. CVSS-Basiswert: 7.5 (Hoch).

Nodemailer enthält laut NVD-Eintrag eine Schwachstelle, die einen Denial-of-Service über einen präparierten E-Mail-Adress-Header ermöglicht. Der Header löst eine unendliche Rekursion im Adress-Parser aus. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Einschätzung liegt für diesen Eintrag nicht vor.

Eine unzureichende Autorisierungsprüfung in den Storage Containers des Dynamics-OmniChannel-SDK erlaubt einem nicht autorisierten Angreifer, über das Netzwerk seine Rechte auszuweiten. CVSS-Basiswert: 8.8 (Hoch).

IBM Storage Virtualize in den Versionen 8.4, 8.5, 8.7 und 9.1 weist in der IKEv1-Implementierung eine Schwachstelle auf, über die entfernte Angreifer während einer Security-Association-Aushandlung sensible Informationen aus dem Gerätespeicher auslesen können. CVSS-Basiswert: 7.5 (Hoch).

Dell Storage Center – Dell Storage Manager in Version DSM 20.1.21 enthält eine Schwachstelle durch fehlende Authentifizierung einer kritischen Funktion. Ein nicht authentifizierter Angreifer mit Fernzugriff könnte diese Lücke ausnutzen und so an Informationen gelangen. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Sicherheitsupdate des Herstellers einspielen.

Im Block-Storage-Bestandteil des Oracle-ZFS-Storage-Appliance-Kit-Produkts (Version 8.8) besteht eine leicht ausnutzbare Schwachstelle, die ein Angreifer mit hohen Rechten und Netzwerkzugriff über HTTP ausnutzen kann. Ein erfolgreicher Angriff kann zur vollständigen Übernahme der Oracle ZFS Storage Appliance Kit führen. CVSS-Basiswert: 7.2 (Hoch).

IBM Fusion 2.2.0 bis 2.10.1, IBM Fusion HCI 2.2.0 bis 2.10.0 und IBM Fusion HCI for watsonx 2.8.2 bis 2.10.0 verwenden unsichere Standardkonfigurationen, die AMQStreams ohne Client-Authentifizierung exponieren können. Ein Angreifer könnte dadurch unautorisierte Aktionen ausführen. CVSS-Basiswert: 8.7 (Hoch).

IBM Storage Virtualize in den Versionen 8.4, 8.5, 8.6 und 8.7 könnte einem authentifizierten Nutzer wegen fehlerhafter Autorisierungsprüfungen beim Zugriff auf Ressourcen erlauben, seine Rechte in einer SSH-Sitzung auszuweiten. CVSS-Basiswert: 8.8 (Hoch).

Dell ECS in Versionen vor 3.8.1.5 und ObjectScale Version 4.0.0.0 enthalten eine Schwachstelle durch die Verwendung eines fest codierten kryptografischen Schlüssels. Ein nicht authentifizierter Angreifer mit lokalem Zugriff könnte dies ausnutzen und so unbefugten Zugriff erlangen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Update auf Version 3.8.1.5.

In IBM Storage Scale 5.2.2.0 und 5.2.2.1 kann unter bestimmten Konfigurationen laut NVD ein authentifizierter Nutzer aufgrund unzureichender Eingabebereinigung privilegierte Befehle ausführen. CVSS-Basiswert: 7.5 (Hoch).

Der Dell Storage Manager (Dell Storage Center) in Version 20.1.20 weist eine Schwachstelle bei der Authentifizierung auf. Ein nicht authentifizierter Angreifer mit Zugang zum benachbarten Netzwerk kann die Lücke potenziell ausnutzen, um seine Rechte auszuweiten. CVSS-Basiswert: 8.3 (Hoch).

Dell Storage Center beziehungsweise Dell Storage Manager in Version 20.1.20 enthält eine Schwachstelle durch unzureichende Einschränkung von XML-External-Entity-Referenzen (XXE). Ein nicht authentifizierter Angreifer mit Zugang zum benachbarten Netzwerk könnte diese ausnutzen, um Informationen offenzulegen oder zu verändern. CVSS-Basiswert: 8.1 (Hoch).

IBM FlashSystem (IBM Storage Virtualize) könnte in mehreren Versionsständen einem entfernten Angreifer mit Zugriff auf das System die Ausführung von beliebigem Java-Code erlauben, bedingt durch unzureichende Einschränkungen im RPCAdapter-Dienst. Betroffen sind unter anderem 8.5.0.0 bis 8.5.0.13, 8.6.0.0 bis 8.6.0.5 sowie 8.7.0.0 bis 8.7.2.1. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: betroffene Software gemäss IBM-Advisory aktualisieren.

Dell ECS enthält vor Version 3.8.1.3 eine Schwachstelle durch einen arithmetischen Überlauf bei der Verarbeitung von Aufbewahrungsfristen. Ein authentifizierter Benutzer mit Bucket- oder Objektzugriff und den nötigen Rechten könnte sie ausnutzen, um Aufbewahrungsrichtlinien zu umgehen und Objekte zu löschen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Auf Dell ECS 3.8.1.3 oder neuer aktualisieren.