威脅預警：IBM InfoSphere系列産品中發現多處高危安全漏洞

本文講的是<b>威脅預警：IBM InfoSphere系列産品中發現多處高危安全漏洞</b>，

近期，網絡安全公司SEC Consult披露了影響IBM InfoSphere DataStage以及IBM InfoSphere Information Server等産品的若幹個未修複漏洞的詳細資訊。

據悉，IBM InfoSphere DataStage 是一款強大的基于圖形化界面的 ETL 工具，它可以從多個不同的業務系統，多個平台的資料源中抽取資料、轉換資料、裝載資料到各種目标系統中；而IBM InfoSphere Information Server 則是一種資料內建平台，具有高度的可擴充性和靈活性，提供大規模并行處理能力，能夠通過可信的資訊形成深入洞察。

安全研究人員表示，這些漏洞已于今年5月23日報告給了産品供應商，但更新程式直至現在也沒有釋出。目前，IBM公司隻是釋出了針對每個問題的建議，提供了如何減輕潛在威脅的安全政策。

SEC Consult公司研究人員在InfoSphere DataStage 11.5版本中發現了一系列屬于“高危”級别的漏洞，但是後來，IBM公司确定稱，這些漏洞也會影響InfoSphere Information Server以及DataStage 9.1、11.3和11.5等版本。

據悉，這些漏洞中最嚴重的是CVE-2017-1468，CVSS得分8.4。該安全漏洞存在的原因是由于Director和Designer用戶端在加載和運作可執行檔案之前不會檢查檔案簽名，是以可以允許本地攻擊者将任意可執行檔案放在安裝目錄中并更新權限。

另外一個高危漏洞是CVE-2017-1467，它是弱授權問題，允許攻擊者執行任意的系統指令。

IBM公司在其安全公告中表示，

未經授權的使用者可以攔截用戶端和伺服器之間的通信，并在無需特權通路的情況下重複某些DataStage指令。

其他較為嚴重的安全漏洞還包括CVE-2017-1383（CVSS得分6.4），它是一個XML外部實體（XXE）注入漏洞，允許攻擊者從用戶端系統擷取任意檔案。

此外，研究人員還發現，特權使用者可以觸發記憶體轉儲，其中可能包含高度敏感的明文資訊，包括登入憑證等。IBM也警告稱，應用程式可以從其主目錄加載DLL檔案，而無需對這些檔案進行驗證，如此一來可能會導緻任意代碼執行問題。

雖然，截至目前，應用于修複這些安全漏洞的更新程式尚未釋出，但是IBM公司已經為大多數問題提供了緩解建議，針對DLL劫持漏洞的緩解方案預計将于11月30日前提供給使用者。

此外，該科技巨頭（IBM）還表示，這些安全漏洞将在其正在開發的新用戶端界面中得到徹底解決，屆時使用者可以放心使用。

最後，SEC Consult公司在其安全公告中表示，

SEC Consult建議供應商可以基于安全源代碼進行一次全面的安全評估，以便及時識别遠端管理平台中的所有安全漏洞，以便為其客戶提供更強的安全保障。

原文釋出時間為：2017年9月19日

本文作者：小二郎

本文來自雲栖社群合作夥伴嘶吼，了解相關資訊可以關注嘶吼網站。.

<a href="http://www.4hou.com/info/news/7647.html" target="_blank">原文連結</a>