IBM BigFix Platform 9.2.x < 9.2.12 / 9.5.x < 9.5.7 多个漏洞
high Nessus 插件 ID 104357
语言：
简介
远程主机上运行的基础架构管理应用程序受到多个漏洞的影响。描述
根据其自我报告的版本，远程主机上运行的 IBM BigFix Platform 版本为低于 9.2.12 的 9.2.x，或低于 9.5.7 的 9.5.x。因此，该服务器受到多个漏洞的影响：- 不明跨站请求伪造 (XSRF) 漏洞允许攻击者执行从网站信任用户传输的恶意和未经授权的操作。(CVE-2017-1218)
- 不明缺陷允许将敏感信息至未授权的用户。(CVE-2017-1220)
- 未对关键资源或功能执行验证检查，允许匿名用户访问受保护区域。(CVE-2017-1222)
- 由于将 URL 参数中的敏感信息存储于服务器日志、引用标头和浏览器历史，而存在信息泄露漏洞。
（CVE-2017-1225、CVE-2017-1226）
- 由于未正确启用安全 Cookie 属性，存在信息泄露漏洞。攻击者可利用此漏洞，使用中间人技术取得敏感信息。(CVE-2017-1228)
- 由于在取决于不可预测数字的安全环境中使用不充分的随机数，而存在信息泄露漏洞。此弱点允许攻击者通过猜测标记或标识符，而暴露敏感信息。
(CVE-2017-1230)
- 以明文传输敏感数据时，存在信息泄露漏洞。
(CVE-2017-1232)
- 跨站脚本漏洞允许攻击者在 WebReports 中嵌入任意 JavaScript 代码，导致在受信任会话中发生凭据泄露。(CVE-2017-1521)
IBM BigFix Platform 之前的名称为 Tivoli Endpoint Manager、IBM Endpoint Manager 和 IBM BigFix Endpoint Manager。
请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。
解决方案
升级版本到 IBM BigFix Platform 9.2.12 / 9.5.7 或更高版本。另见
插件详情
严重性: High
ID: 104357
文件名: ibm_tem_9_5_7.nasl
版本: 1.6
类型: remote
系列: Web Servers
发布时间: 2017/11/2
最近更新时间: 2019/2/26
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: Medium
基本分数: 6.8
时间分数: 5
矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2017-1218
CVSS v3
风险因素: High
基本分数: 8.8
时间分数: 7.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:ibm:tivoli_endpoint_manager, cpe:/a:ibm:bigfix_platform
必需的 KB 项: www/BigFixHTTPServer
易利用性: No known exploits are available
补丁发布日期: 2017/10/23
漏洞发布日期: 2017/10/23
参考资料信息
CVE: CVE-2017-1218, CVE-2017-1220, CVE-2017-1222, CVE-2017-1225, CVE-2017-1226, CVE-2017-1228, CVE-2017-1230, CVE-2017-1232, CVE-2017-1521