Podatności IBM InfoSphere Information Server

IBM InfoSphere Information Server w wersjach 9.1, 11.3 i 11.5 może pozwolić lokalnemu użytkownikowi na uzyskanie podwyższonych uprawnień poprzez umieszczanie dowolnych plików w katalogach instalacyjnych.

IBM InfoSphere Information Server jest podatny na atak typu denial of service spowodowany błędem wstrzykiwania zewnętrznych jednostek XML (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub wyczerpania dostępnych zasobów pamięci.

IBM InfoSphere Information Server w wersjach od 11.7.0.0 do 11.7.1.6 zawiera podatność na ujawnienie informacji. Atakujący może wykorzystać tę lukę do uzyskania dostępu do wrażliwych danych.

Podatność typu Server-Side Request Forgery (SSRF) w IBM InfoSphere Information Server 11.7.0.0 do 11.7.1.6. Umożliwia uwierzytelnionemu atakującemu wysyłanie nieautoryzowanych żądań z systemu, co może prowadzić do skanowania sieci lub ułatwienia innych ataków.

IBM InfoSphere Information Server w wersjach od 11.7.0.0 do 11.7.1.6 jest podatny na atak XML external entity injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia poufnych informacji lub zużycia zasobów pamięci.

IBM InfoSphere Information Server w wersjach od 11.7.0.0 do 11.7.1.6 może pozwolić użytkownikowi niebędącemu rootem na uzyskanie wyższych uprawnień/zdolności w zakresie kontenera z powodu wykonania z niepotrzebnymi uprawnieniami.

IBM InfoSphere Information Server w wersjach od 11.7.0.0 do 11.7.1.6 może umożliwić uwierzytelnionemu użytkownikowi wykonanie dowolnych poleceń z podwyższonymi uprawnieniami w systemie z powodu nieprawidłowej walidacji danych wprowadzanych przez użytkownika.

IBM InfoSphere Information Server 11.7 może pozwolić uwierzytelnionemu użytkownikowi na uzyskanie poufnych informacji z powodu niebezpiecznej konfiguracji zabezpieczeń w InfoSphere Data Flow Designer.

IBM InfoSphere Information Server w wersji 11.7 może umożliwić zdalnemu atakującemu uzyskanie informacji o systemie za pomocą specjalnie przygotowanego zapytania, co może wspierać dalsze ataki na system.