2018-1000: IBM DB2: Mehrere Schwachstellen ermöglichen u. a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2018-05-24 19:16): Neues Advisory

Betroffene Software

Server

Betroffene Plattformen

HP
IBM
Linux
Microsoft
Oracle
UNIX

Beschreibung:

In IBM DB2 existieren mehrere Schwachstellen, die zumeist einem lokalen, nicht authentisierten Angreifer die Ausführung beliebigen Programmcodes, die Manipulation von Dateien und unter Umständen das Erlangen erhöhter Rechte ermöglichen. Außerdem bestehen mehrere Schwachstellen im IBM Java Development Kit (JDK) für DB2, welche einem entfernten, nicht authentisierten Angreifer das Ausspähen von Informationen ermöglichen sowie die Ausführung eines Denial-of-Service (DoS)-Angriffes. Eine weitere, schwer auszunutzbare Schwachstelle in JDK ermöglicht einem lokalen, nicht authentisierten Angreifer die Übernahme des Systems.

Die Schwachstellen in DB2 betreffen unterschiedliche Versionszweige und Betriebssysteme:
Die Schwachstellen CVE-2018-1488 und CVE-2018-1515 betreffen die DB2 Versionszweige 10.5 und 11.1 und gelten für alle Betriebssysteme. Die Schwachstellen CVE-2018-1544 und CVE-2018-1565 betreffen zusätzlich die Versionszweige 9.7 und 10.1. Die Schwachstelle CVE-2018-1459 betrifft die DB2 Versionen 9.7, 10.1, 10.5 und 11.1 auf Windows-Systemen und die Schwachstellen CVE-2018-1449 bis CVE-2018-1452 betreffen die gleichen DB2 Versionszweige auf allen Systemen außer Windows.

IBM stellt die DB2 Versionen 11.1.3.3 Interim Fix 1, 10.5 Fix Pack 9, 10.1 Fix Pack 6 und 9.7 Fix Pack 11 zur Behebung der jeweils relevanten Schwachstellen zur Verfügung.

Die Schwachstellen in JDK haben Auswirkungen auf alle DB2 Versionszweige und werden durch die JDK Versionen 6.0.16.60, 6.1.8.60, 7.0.10.20, 7.1.4.20 und 8.0.5.10 behoben. Nutzer des Versionszweiges 6.X müssen sich an den IBM Support wenden, um ein entsprechendes Sicherheitsupdate zu erhalten, da diese Versionen nicht mehr offiziell unterstützt werden.

Schwachstellen:

CVE-2018-1449 CVE-2018-1450 CVE-2018-1451 CVE-2018-1452

Schwachstellen in IBM DB2 ermöglichen Manipulation von Dateien

CVE-2018-1459

Schwachstelle in IBM DB2 ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-1488

Schwachstelle in IBM DB2 ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-1515

Schwachstelle in IBM DB2 ermöglicht Privilegieneskalation

CVE-2018-1544 CVE-2018-1565

Schwachstellen in IBM DB2 ermöglichen Privilegieneskalation

CVE-2018-2579

Schwachstelle in Oracle Java SE, Java SE Embedded und JRockit ermöglicht Ausspähen von Informationen

CVE-2018-2602

Schwachstelle in Oracle Java SE und Java SE Embedded ermöglicht Kompromittierung der Software

CVE-2018-2618