2019-0480: IBM Db2: Mehrere Schwachstellen ermöglichen u. a. die Übernahme des Systems

Historie:

Version 1 (2019-03-11 13:56): Neues Advisory

Betroffene Software

Server

Betroffene Plattformen

HP
IBM
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Mehrere Schwachstellen in IBM Db2 ermöglichen einem lokalen, einfach authentifizierten Angreifer ohne besondere Privilegien die Ausführung beliebigen Programmcodes. In mehreren Fällen erfolgt dies mit den Rechten des Benutzers 'root', wodurch die Übernahme des kompletten Systems möglich ist.

IBM informiert über die Schwachstellen und gibt an, dass diese zur Privilegieneskalation bis hin zu 'root' oder zum Besitzer der Db2-Instanz ausgenutzt werden können. Der Hersteller stellt Sicherheitsupdates in Form von Special Builds zur Behebung der Schwachstellen bereit. Im Sicherheitshinweis werden Download-URLs für diese Builds für verschiedene Plattformen genannt.

Zusätzlich steht für Db2 V11.1 die Version V11.1.4.4 iFix001 über Fix Central bereit. Die von IBM hierzu angegebene URL enthält einen Tippfehler (korrekte Referenz anbei).

Schwachstellen:

CVE-2018-1922 CVE-2018-1923

Schwachstellen in IBM Db2 ermöglichen Ausführung beliebigen Programmcodes

CVE-2018-1978 CVE-2018-1980 CVE-2019-4015 CVE-2019-4016