自己報告されたバージョンによると、リモートホストで実行されているIBM BigFix Platformアプリケーションは、9.2.12より前の9.2.x、または9.5.7より前の9.5.xです。したがって、以下の複数の脆弱性による影響を受けます。

  - 詳細不明なクロスサイトリクエスト偽造（XSRF）の脆弱性により、攻撃者が、Webサイトが信頼するユーザーから送信された悪意のある認証されていないアクションを実行する可能性があります。（CVE-2017-1218）

  - 詳細不明な欠陥により、認証されていないユーザーに秘密情報が漏洩する可能性があります。（CVE-2017-1220）

  - 重要なリソースや機能の認証チェックに失敗したため、匿名のユーザーが保護された領域にアクセスする可能性があります。（CVE-2017-1222）

  - URLパラメーターの秘密情報がサーバーログ、参照元ヘッダー、ブラウザ履歴に保存されているため、情報漏洩の脆弱性があります。
    （CVE-2017-1225、CVE-2017-1226）

  - セキュアなCookie属性を適切に有効化できないため、情報漏洩の脆弱性があります。攻撃者がこの脆弱性を悪用し、中間者技術を使用して秘密情報を入手する可能性があります。（CVE-2017-1228）

  - 予測できない数字に依存するセキュリティコンテキストで、不十分な乱数が使用されているため、情報漏洩の脆弱性があります。この脆弱性により、攻撃者がトークンや識別名を推測して秘密情報を公開する可能性があります。
    （CVE-2017-1230）

  - クリアテキストで秘密データが送信されているため、情報漏洩の脆弱性があります。
    （CVE-2017-1232）

  - クロスサイトスクリプティングの脆弱性のため、攻撃者が任意のJavaScriptコードをWebReportsに埋め込んで、信頼できるセッション内で資格情報を漏洩する可能性があります。（CVE-2017-1521）

IBM BigFixは、以前はTivoli Endpoint Manager、IBM Endpoint Manager、IBM BigFix Endpoint Managerとして知られていました。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

IBM BigFix Platform 9.2.x < 9.2.12/9.5.x < 9.5.7の複数の脆弱性

high Nessus プラグイン ID 104357

変更ログが見つかりません