2021-1111: IBM Security Identity Manager Virtual Appliance: Mehrere Schwachstellen ermöglichen u. a. die Übernahme des Systems

Historie:

Version 1 (2021-05-21 12:49): Neues Advisory
Version 2 (2021-09-03 16:47): IBM gibt bekannt, dass auch IBM Security Identity Manager Virtual Appliance in Version 7.0.1 von den Schwachstellen betroffen ist und stellt den Patch 7.0.1-ISS-SIM-FP0016 zur deren Behebung bereit.

Betroffene Software

Sicherheit

Betroffene Plattformen

IBM
Linux
Microsoft
Oracle
UNIX

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um das komplette System zu übernehmen, Administratorrechte zu erlangen, Dateien zu manipulieren, Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen. Zudem kann ein Angreifer mehrere Schwachstellen lokal ausnutzen, um ebenfalls Administratorrechte zu erlangen, Dateien zu manipulieren, Privilegien zu eskalieren und beliebigen Programmcode auszuführen. Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung mehrerer Schwachstellen kann Einfluss auf andere Komponenten haben.

IBM informiert über die Schwachstellen in IBM Security Identity Manager Virtual Appliance und stellt die Version 7.0.2-ISS-SIM-FP0003 als Sicherheitsupdate für AIX, Windows, Solaris und Linux zu Verfügung.

Schwachstellen:

CVE-2011-1498

Schwachstelle in Apache Commons HTTPClient ermöglicht Ausspähen von Informationen

CVE-2012-6153

Schwachstelle in Apache Commons HTTPClient ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2014-3577

Schwachstelle in Apache Commons HTTPClient ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2015-5262

Schwachstelle in Jakarta Commons HTTPClient ermöglicht Denial-of-Service-Angriff

CVE-2017-10190

Schwachstelle in Oracle Datenbankserver ermöglicht Übernahme von Systemkomponenten

CVE-2017-10202

Schwachstelle in Oracle Datenbankserver ermöglicht Übernahme von Systemkomponente

CVE-2017-10292

Schwachstelle in Oracle Datenbankserver ermöglicht die Manipulation von Daten

CVE-2017-10321

Schwachstelle in Oracle Datenbankserver ermöglicht Übernahme von Systemkomponenten

CVE-2019-17006

Schwachstelle in Network Security Services (NSS) ermöglicht Ausführung beliebigen Programmcodes

CVE-2019-2406

Schwachstelle in Oracle Datenbankserver ermöglicht komplette Systemübernahme

CVE-2019-2444

Schwachstelle in Oracle Datenbankserver ermöglicht komplette Systemübernahme

CVE-2019-2619

Schwachstelle in Oracle Datenbankserver ermöglicht Kompromittierung der Software

CVE-2020-11022

Schwachstelle in jQuery ermöglicht Ausführen beliebigen Programmcodes

CVE-2020-11023

Schwachstelle in jQuery ermöglicht Ausführen beliebigen Programmcodes