IBM MQ 9.3 < 9.4.3 CD/ 9.49.4.0.12 < LTS/ 9.4.3 7238311
high Nessus プラグイン ID 240887
Language:
概要
リモートのウェブサーバーは複数の脆弱性の影響を受けます。説明
リモートホストで実行されているIBM MQサーバーのバージョンは、7238311アドバイザリに記載されている複数の脆弱性の影響を受けます。- IBM Semeru Runtime 8.0.302.0 から 8.0.442.0、 11.0.12.0 から 11.0.26.0、 17.0.0.0 から [ 17.0.14.0、および 21.0.0.0 から 12.0.6.0 は、sprintf での欠陥により、バッファオーバーフローやその後のクラッシュによって引き起こされるサービス拒否に対して脆弱です。ネイティブ AES/CBC 暗号化実装。CVE-2025-2900
- Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE の Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JSSE)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u441、8u441-perf、11.0.26、17.0.14、21.0.6、24、Oracle GraalVM for JDK:17.0.14、21.0.6、24、Oracle GraalVM Enterprise Edition:20.3.17 および 21.3.13 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。
注意: この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性があります。この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントも対象です。
(CVE-2025-21587)
- Oracle Java SE の Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: 2D)。影響を受けるサポートされたバージョンは、Oracle Java SE: 8u441、8u441-perf、11.0.26、17.0.14、21.0.6、24、Oracle GraalVM for JDK: 17.0.14、21.0.6、24、Oracle GraalVM Enterprise Edition: 20.3.17 および 21.3.13 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition がアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、削除アクセス、また、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition のアクセス可能なデータのサブセットへの不正な読み取りアクセスが行われたり、認証されていない権限により Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の部分的なサービス拒否 (部分的 DOS) を引き起こす可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード (管理者がインストールしたコードなど) のみを読み込んで実行する Java デプロイメントを対象としていません。(CVE-2025-30698)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
IBM MQ 9.4.0.12 LTS、 9.4.3、 9.4.3 CD 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 240887
ファイル名: ibm_mq_7238311.nasl
バージョン: 1.1
タイプ: local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2025/6/28
更新日: 2025/6/28
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.2
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2025-2900
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:ibm:mq, cpe:/a:ibm:websphere_mq
必要な KB アイテム: installed_sw/IBM WebSphere MQ
エクスプロイトの容易さ: No known exploits are available
脆弱性公開日: 2025/4/15