IBM BigFix Compliance 1.9.70の複数の脆弱性

critical Nessus プラグイン ID 100720

Language:

概要

リモートのWebサーバーで実行されているインフラストラクチャ管理アプリケーションは、複数の脆弱性の影響を受けます。

説明

自己報告されたバージョンによると、リモートのWebサーバーで実行されているIBM BigFix Complianceのインスタンスは1.9.70です。したがって、以下の複数の脆弱性の影響を受けます。-ユーザー入力の検証が不適切なため、Web UIのAnalyticsコンポーネントにStore型クロスサイトスクリプティング（XSS）の脆弱性があります。認証されていないリモートの攻撃者がこの脆弱性を悪用し、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2017-1178）-古い暗号化アルゴリズムを使用しているため、Analyticsコンポーネントに情報漏えいの脆弱性があります。中間者攻撃の攻撃者（MitM）がこれを悪用し、秘密情報を漏えいさせる可能性があります。（CVE-2017-1179）-デフォルトの弱いパスワードポリシーを使用しているため、Analyticsコンポーネントに情報漏えいの脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、ブルートフォース攻撃を介して、ユーザーアカウントの資格情報を漏えいさせる可能性があります。（CVE-2017-1196）-認証要求が複数回にわたり失敗してもアカウントを安全にロックできないため、Analyticsにセキュリティの欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、ブルートフォース攻撃を仕掛ける可能性があります。（CVE-2017-1197）