IBM BigFix Platform 9.2.x < 9.2.12/9.5.x < 9.5.7の複数の脆弱性
high Nessus プラグイン ID 104357
Language:
概要
リモートホストで実行されているインフラストラクチャ管理アプリケーションは、複数の脆弱性の影響を受けます。説明
自己報告されたバージョンによると、リモートホストで実行されているIBM BigFix Platformアプリケーションは、9.2.12より前の9.2.x、または9.5.7より前の9.5.xです。したがって、以下の複数の脆弱性による影響を受けます。- 詳細不明なクロスサイトリクエスト偽造（XSRF）の脆弱性により、攻撃者が、Webサイトが信頼するユーザーから送信された悪意のある認証されていないアクションを実行する可能性があります。（CVE-2017-1218）
- 詳細不明な欠陥により、認証されていないユーザーに秘密情報が漏洩する可能性があります。（CVE-2017-1220）
- 重要なリソースや機能の認証チェックに失敗したため、匿名のユーザーが保護された領域にアクセスする可能性があります。（CVE-2017-1222）
- URLパラメーターの秘密情報がサーバーログ、参照元ヘッダー、ブラウザ履歴に保存されているため、情報漏洩の脆弱性があります。
（CVE-2017-1225、CVE-2017-1226）
- セキュアなCookie属性を適切に有効化できないため、情報漏洩の脆弱性があります。攻撃者がこの脆弱性を悪用し、中間者技術を使用して秘密情報を入手する可能性があります。（CVE-2017-1228）
- 予測できない数字に依存するセキュリティコンテキストで、不十分な乱数が使用されているため、情報漏洩の脆弱性があります。この脆弱性により、攻撃者がトークンや識別名を推測して秘密情報を公開する可能性があります。
（CVE-2017-1230）
- クリアテキストで秘密データが送信されているため、情報漏洩の脆弱性があります。
（CVE-2017-1232）
- クロスサイトスクリプティングの脆弱性のため、攻撃者が任意のJavaScriptコードをWebReportsに埋め込んで、信頼できるセッション内で資格情報を漏洩する可能性があります。（CVE-2017-1521）
IBM BigFixは、以前はTivoli Endpoint Manager、IBM Endpoint Manager、IBM BigFix Endpoint Managerとして知られていました。
Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
IBM BigFix Platformバージョン9.2.12/9.5.7以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 104357
ファイル名: ibm_tem_9_5_7.nasl
バージョン: 1.6
タイプ: remote
ファミリー: Web Servers
公開日: 2017/11/2
更新日: 2019/2/26
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2017-1218
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:ibm:tivoli_endpoint_manager, cpe:/a:ibm:bigfix_platform
必要な KB アイテム: www/BigFixHTTPServer
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2017/10/23
脆弱性公開日: 2017/10/23
参照情報
CVE: CVE-2017-1218, CVE-2017-1220, CVE-2017-1222, CVE-2017-1225, CVE-2017-1226, CVE-2017-1228, CVE-2017-1230, CVE-2017-1232, CVE-2017-1521