根据其自我报告的版本，远程 Web 服务器上运行的 IBM BigFix Compliance 实例版本为 1.9.70。因而会受到多个漏洞的影响：- 由于未正确验证用户提供的输入，Analytics 组件的 Web UI 中存在存储的跨站脚本 (XSS) 漏洞。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2017-1178) - 由于使用过时的加密算法，Analytics 组件中存在一个信息泄露漏洞。中间人 (MitM) 攻击者可借此泄露敏感信息。(CVE-2017-1179) - 由于默认密码政策薄弱，Analytics 组件中存在信息泄露漏洞。未经身份验证的远程攻击者可利用此问题，通过蛮力攻击来泄露用户凭证。(CVE-2017-1196) - 由于多次验证尝试失败之后，未以安全的方式锁定账户，Analytics 组件中存在安全弱点。未经身份验证的远程攻击者可利用此问题，执行蛮力攻击。(CVE-2017-1197)

检测

IBM BigFix Compliance 1.9.70 Multiple Vulnerabilities

critical Nessus 插件 ID 100720

未找到变更日志