TIBCO / Jaspersoft JasperReports

Eine Konfigurationsschwaeche in den Java Management Extensions (JMX) von TIBCO BPM Enterprise Version 4.x erlaubt unberechtigten Zugriff. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: den JMX-Zugriff gemaess Herstellerangaben absichern.

In Jaspersoft Library besteht eine Java-Deserialisierungsschwachstelle. Die unsachgemässe Verarbeitung extern bereitgestellter Daten kann Angreifern die Remotecodeausführung auf Systemen ermöglichen, die die betroffene Bibliothek verwenden. CVSS-Basiswert: 9.8 (Kritisch).

Angreifer können schädlichen Code einschleusen und dadurch potenziell die Kontrolle über das System erlangen, das die betroffenen Funktionen ausführt. Zusätzlich ermöglicht die unzureichende Prüfung von Dateinamen beim Upload das Hochladen und Ausführen schädlicher Dateien, was zu einer beliebigen Code-Ausführung führt. CVSS-Basiswert: 9.8 (Kritisch).

Die Jaspersoft-JasperReport-Server-Versionen von 8.0.4 bis 9.0.0 sind laut NVD von einer Schwachstelle betroffen. Weitere technische Details zur Art der Schwachstelle liegen aus der Quelle nicht vor. CVSS-Basiswert: 7.2 (Hoch).

Die Web-Application-Komponente von TIBCO EBX und TIBCO Product and Service Catalog powered by TIBCO EBX enthält eine leicht ausnutzbare Schwachstelle, die es einem Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff erlaubt, ein gespeichertes XSS auf dem betroffenen System auszuführen. Betroffen sind TIBCO EBX in den Versionen 5.9.22 und niedriger, 6.0.13 und niedriger sowie TIBCO Product and Service Catalog in den Versionen 5.0.0 und niedriger. CVSS-Basiswert: 8.7 (Hoch).

Die Komponenten Hawk Console und Hawk Agent von TIBCO Hawk, TIBCO Hawk Distribution for TIBCO Silver Fabric, TIBCO Operational Intelligence Hawk RedTail sowie TIBCO Runtime Agent weisen eine Schwachstelle auf, die theoretisch einem Angreifer mit Zugriff auf die Logs von Hawk Console und Agent erlaubt, Zugangsdaten für zugehörige EMS-Server zu erlangen. Betroffen sind TIBCO Hawk bis Version 6.2.2, TIBCO Hawk Distribution for TIBCO Silver Fabric bis 6.2.2, TIBCO Operational Intelligence Hawk RedTail bis 7.2.1 und TIBCO Runtime Agent bis 5.12.2. CVSS-Basiswert: 7.4 (Hoch).

Die Web-Client-Komponente von TIBCO Nimbus enthält leicht ausnutzbare Reflected-Cross-Site-Scripting-Schwachstellen (XSS). Ein Angreifer mit niedrigen Rechten kann per Social Engineering einen legitimen Benutzer mit Netzwerkzugriff dazu bringen, Skripte auszuführen, die das betroffene System oder das lokale System des Opfers angreifen. Ein erfolgreicher Angriff erfordert die Interaktion einer anderen Person als des Angreifers. Betroffen sind TIBCO Nimbus Versionen 10.6.0 und darunter. CVSS-Basiswert: 8 (Hoch).

Die Komponente Data Exchange Add-on von TIBCO EBX Add-ons enthält eine leicht ausnutzbare Schwachstelle. Ein Benutzer mit geringen Rechten, aber Importberechtigung und Netzwerkzugriff auf den EBX-Server, kann beliebige SQL-Anweisungen auf dem betroffenen System ausführen. Betroffen sind TIBCO EBX Add-ons Version 4.5.17 und niedriger, 5.6.2 und niedriger sowie 6.1.0. CVSS-Basiswert: 8.8 (Hoch).

In der Jaspersoft Reports Library besteht eine Java-Deserialisierungsschwachstelle, die zu Remote-Code-Ausführung (RCE) führen kann und damit potenziell die Ausführung von Code auf dem betroffenen System erlaubt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Herstellerhinweise beachten und auf eine bereinigte Version aktualisieren.