Podatności IBM Sterling B2B Integrator

IBM Sterling B2B Integrator w wersji 5.2 jest podatny na atak typu XML External Entity Injection (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.

Narzędzie Health Check w IBM Sterling B2B Integrator 5.2 nieprawidłowo obsługuje ciasteczka w połączeniu z sesjami HTTPS, co umożliwia atakującym typu man-in-the-middle uzyskanie poufnych informacji lub modyfikację danych.

Podatność XSS w IBM Sterling B2B Integrator i IBM Sterling File Gateway (wersje 6.2.2.0 do 6.2.2.0_1) pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie webowym. Może to prowadzić do kradzieży danych uwierzytelniających w ramach zaufanej sesji.

Podatność XSS w komponencie Ebics serwera IBM Sterling B2B Integrator i IBM Sterling File Gateway (wiele wersji) pozwala uwierzytelnionemu użytkownikowi na osadzenie dowolnego kodu JavaScript w interfejsie webowym. Może to prowadzić do kradzieży danych uwierzytelniających w ramach zaufanej sesji.

IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach są podatne na ujawnienie informacji z powodu umieszczenia wrażliwych danych w komentarzach kodu źródłowego komponentu dashboardu.

IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach są podatne na ujawnienie informacji z powodu umieszczenia wrażliwych danych w komentarzach kodu źródłowego komponentu skrzynki pocztowej.

IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach przechowują potencjalnie wrażliwe informacje w plikach dziennika, które mogą być odczytane przez uprzywilejowanego użytkownika.

IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach umożliwiają uwierzytelnionemu użytkownikowi uzyskanie dostępu do wrażliwych informacji, które powinny być dostępne tylko dla uprzywilejowanego użytkownika.

IBM Sterling B2B Integrator i IBM Sterling File Gateway w podanych wersjach są podatne na trwałe cross-site scripting (XSS). Uprzywilejowany użytkownik może osadzić dowolny kod JavaScript w interfejsie WWW, zmieniając zamierzoną funkcjonalność i potencjalnie prowadząc do ujawnienia danych uwierzytelniających w zaufanej sesji.

IBM Sterling B2B Integrator i IBM Sterling File Gateway w wersjach 6.2.0.0 do 6.2.0.5_2, 6.2.1.0 do 6.2.1.1_2 oraz 6.2.2.0 do 6.2.2.0_1 mogą pozwolić nieuwierzytelnionemu użytkownikowi na odczyt wrażliwych informacji poprzez ominięcie uwierzytelnienia za pomocą specjalnie spreparowanego żądania HTTP.

IBM Sterling B2B Integrator i IBM Sterling File Gateway są podatne na iniekcję SQL. Uprzywilejowany użytkownik może wysłać specjalnie spreparowane zapytania SQL, co pozwala na przeglądanie, dodawanie, modyfikowanie lub usuwanie informacji w bazie danych.

IBM Sterling B2B Integrator oraz IBM Sterling File Gateway są podatne na ataki typu cross-site scripting (XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie Web UI, co może zmienić zamierzone działanie aplikacji i potencjalnie doprowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.

IBM Sterling B2B Integrator w wersjach od 6.2.0.0 do 6.2.0.5 oraz 6.2.1.0, a także IBM Sterling File Gateway w wersjach od 6.2.0.0 do 6.2.0.5 oraz 6.2.1.0 przechowują poświadczenia użytkowników w plikach konfiguracyjnych, które mogą być odczytane przez lokalnego użytkownika.

IBM Sterling B2B Integrator (wersje 6.0.0.0–6.1.2.7_1 i 6.2.0.0–6.2.0.4) oraz IBM Sterling File Gateway (te same zakresy wersji) mogą ujawniać uprzywilejowanemu użytkownikowi poufne informacje systemowe o serwerze. Ujawnione dane mogą ułatwić przeprowadzenie dalszych ataków na system.