IBM BigFix Platform 9.2.x < 9.2.15 / 9.5.x < 9.5.10 多个漏洞

high Nessus 插件 ID 119843

简介

远程主机上运行的基础架构管理应用程序受到多个漏洞的影响。

描述

根据其自我报告的版本,远程主机上运行的 IBM BigFix Platform 版本为低于 9.2.15 的 9.2.x,或低于 9.5.10 的 9.5.x。因而会受到多个漏洞的影响:- IBM BigFix Platform 容易受到不当验证用户提供的输入而造成的 HTTP 响应拆分攻击。远程攻击者可利用此漏洞注入任意 HTTP 标头,并在单击 URL 时,造成服务器返回拆分响应。这允许攻击者发动进一步的攻击,例如 Web 缓存侵害或跨站脚本,而且可能会获得敏感信息。(CVE-2018-1474) - IBM BigFix Platform 在成功的身份验证后不会更新会话变量,这可能会导致会话固定/劫持漏洞。这可能会强制用户利用攻击者已知的 cookie。(CVE-2018-1485) - OpenSSL 容易遭受拒绝服务。远程攻击者可利用此漏洞,通过发送具有递归定义的特制 ASN.1 数据,消耗过量的堆栈内存。(CVE-2018-0739) 此外,IBM BigFix Platform 也会受到数个其他漏洞影响,包括多个信息泄露漏洞、一个点击劫持漏洞、多个敏感 cookie 削弱安全性漏洞,以及一个会话劫持漏洞。IBM BigFix Platform 之前的名称为 Tivoli Endpoint Manager、IBM Endpoint Manager 和 IBM BigFix Endpoint Manager。请注意,Nessus 并未测试这些问题,而是只依赖于应用程序自我报告的版本号。

解决方案

升级版本到 IBM BigFix Platform 9.2.15 / 9.5.10 或更高版本。

另见

https://www-01.ibm.com/support/docview.wss?uid=ibm10733605

插件详情

严重性: High

ID: 119843

文件名: ibm_tem_9_5_10.nasl

版本: 1.5

类型: remote

系列: Web Servers

发布时间: 2018/12/21

最近更新时间: 2022/5/26

支持的传感器: Nessus

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 分数来源: CVE-2018-1481

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

CVSS 分数来源: CVE-2018-1476

漏洞信息

CPE: cpe:/a:ibm:tivoli_endpoint_manager, cpe:/a:ibm:bigfix_platform

必需的 KB 项: www/BigFixHTTPServer

易利用性: No known exploits are available

补丁发布日期: 2018/12/10

漏洞发布日期: 2018/12/10

参考资料信息

CVE: CVE-2018-0739, CVE-2018-1474, CVE-2018-1476, CVE-2018-1478, CVE-2018-1480, CVE-2018-1481, CVE-2018-1484, CVE-2018-1485