L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de IBM Tivoli Storage Manager

avis de vulnérabilité informatique CVE-2017-1380

WebSphere AS : Cross Site Scripting via Admin Console

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting via Admin Console de WebSphere AS, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : Tivoli Storage Manager, Tivoli System Automation, Tivoli Workload Scheduler, WebSphere AS Traditional, IBM WebSphere ESB.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 21/07/2017.
Références : 2004786, 2006342, 2006515, 2009072, 2009082, 2009087, 2009089, 2009090, 2009348, 7036319, 7048591, CVE-2017-1380, VIGILANCE-VUL-23309.

Description de la vulnérabilité

Le produit WebSphere AS dispose d'un service web.

Cependant, les données reçues via Admin Console ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting via Admin Console de WebSphere AS, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité informatique CVE-2017-10053 CVE-2017-10067 CVE-2017-10074

Oracle Java : vulnérabilités de juillet 2017

Synthèse de la vulnérabilité

Produits concernés : Debian, Fedora, AIX, Domino, Notes, Security Directory Server, QRadar SIEM, Tivoli Storage Manager, Tivoli System Automation, WebSphere AS Traditional, IBM WebSphere ESB, WebSphere MQ, Junos Space, ePO, SnapManager, Java OpenJDK, openSUSE Leap, Java Oracle, JavaFX, RHEL, SUSE Linux Enterprise Desktop, SLES, Ubuntu.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, déni de service du service.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 19/07/2017.
Références : 2007002, 2008025, 2008360, 2008362, 2008757, 2009206, 2009232, 2009253, 2009415, 2009663, 2011594, 2012301, CERTFR-2017-AVI-223, cpujul2017, CVE-2017-10053, CVE-2017-10067, CVE-2017-10074, CVE-2017-10078, CVE-2017-10081, CVE-2017-10086, CVE-2017-10087, CVE-2017-10089, CVE-2017-10090, CVE-2017-10096, CVE-2017-10101, CVE-2017-10102, CVE-2017-10104, CVE-2017-10105, CVE-2017-10107, CVE-2017-10108, CVE-2017-10109, CVE-2017-10110, CVE-2017-10111, CVE-2017-10114, CVE-2017-10115, CVE-2017-10116, CVE-2017-10117, CVE-2017-10118, CVE-2017-10121, CVE-2017-10125, CVE-2017-10135, CVE-2017-10145, CVE-2017-10176, CVE-2017-10193, CVE-2017-10198, CVE-2017-10243, DLA-1073-1, DSA-3919-1, DSA-3954-1, DSA-4005-1, FEDORA-2017-605557de96, FEDORA-2017-721314e3b3, FEDORA-2017-735e2ae663, FEDORA-2017-be3df4fe14, FEDORA-2017-fe57cf60c3, ibm10718843, JSA10873, NTAP-20170720-0001, openSUSE-SU-2017:2211-1, openSUSE-SU-2018:0042-1, RHSA-2017:1789-01, RHSA-2017:1790-01, RHSA-2017:1791-01, RHSA-2017:1792-01, RHSA-2017:2424-01, RHSA-2017:2469-01, RHSA-2017:2481-01, RHSA-2017:2530-01, SB10208, SUSE-SU-2017:2175-1, SUSE-SU-2017:2263-1, SUSE-SU-2017:2280-1, SUSE-SU-2017:2281-1, SUSE-SU-2018:0005-1, USN-3366-1, USN-3366-2, USN-3396-1, VIGILANCE-VUL-23289.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Oracle Java.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique CVE-2017-1381

WebSphere AS : obtention d'information via Proxy Server / ODR

Synthèse de la vulnérabilité

Produits concernés : Security Directory Server, Tivoli Directory Server, Tivoli Storage Manager, Tivoli System Automation, Tivoli Workload Scheduler, WebSphere AS Traditional, IBM WebSphere ESB.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 19/07/2017.
Références : 2004792, 2006343, 2006905, 2009023, 2009072, 2009082, 2009087, 2009089, 2009090, 2009348, 7048591, CVE-2017-1381, VIGILANCE-VUL-23275.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Proxy Server / ODR de WebSphere Application Server, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité CVE-2017-1297

IBM DB2 : buffer overflow via Command Line Process

Synthèse de la vulnérabilité

Produits concernés : DB2 UDB, Tivoli Storage Manager.
Gravité : 2/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 23/06/2017.
Références : 2004878, 2009194, CVE-2017-1297, VIGILANCE-VUL-23072.

Description de la vulnérabilité

Un attaquant peut provoquer un buffer overflow via Command Line Process de IBM DB2, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2017-1105

IBM DB2 : buffer overflow

Synthèse de la vulnérabilité

Produits concernés : DB2 UDB, Tivoli Storage Manager.
Gravité : 2/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 23/06/2017.
Références : 2003877, 2009194, CVE-2017-1105, TALOS-2018-0558, VIGILANCE-VUL-23071.

Description de la vulnérabilité

Un attaquant peut provoquer un buffer overflow de IBM DB2, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité CVE-2016-8939

IBM Spectrum Protect : obtention de mots de passe

Synthèse de la vulnérabilité

Un attaquant peut lire les mots de passe utilisés par IBM Spectrum Protect.
Produits concernés : Tivoli Storage Manager.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : shell utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 31/05/2017.
Références : 2000998, 2003738, CVE-2016-8939, VIGILANCE-VUL-22872.

Description de la vulnérabilité

Le produit IBM Spectrum Protect stocke des mots de passe dans le registre de MS-Windows.

Cependant, les droits d'accès au registre sont tels qu'un attaquant peut lire ces mots de passe.

Un attaquant peut donc lire les mots de passe utilisés par IBM Spectrum Protect.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2016-8916

IBM Tivoli Storage Manager : obtention d'information via Instrumentation Log

Synthèse de la vulnérabilité

Produits concernés : Tivoli Storage Manager.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 02/05/2017.
Références : 1998166, CVE-2016-8916, VIGILANCE-VUL-22607.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données via Instrumentation Log de IBM Tivoli Storage Manager, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2016-8940

IBM Tivoli Storage Manager : élévation de privilèges via SQL Access

Synthèse de la vulnérabilité

Produits concernés : Tivoli Storage Manager.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié.
Provenance : client intranet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 01/03/2017.
Références : 1998946, CVE-2016-8940, VIGILANCE-VUL-21991.

Description de la vulnérabilité

Un attaquant peut contourner les restrictions via SQL Access de IBM Tivoli Storage Manager, afin d'élever ses privilèges.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité CVE-2016-8998

IBM Tivoli Storage Manager : buffer overflow via SELECT

Synthèse de la vulnérabilité

Produits concernés : Tivoli Storage Manager.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, déni de service du service, déni de service du client.
Provenance : compte utilisateur.
Confiance : confirmé par l'éditeur (5/5).
Date création : 22/02/2017.
Références : 1998747, CVE-2016-8998, VIGILANCE-VUL-21932.

Description de la vulnérabilité

Un attaquant peut provoquer un buffer overflow via SELECT de IBM Tivoli Storage Manager, afin de mener un déni de service, et éventuellement d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité CVE-2017-3733

OpenSSL : déni de service via l'option "Encrypt-Then-Mac"

Synthèse de la vulnérabilité

Un attaquant peut inverser l'état de l'option "Encrypt-Then-Mac" dans une renégociation TLS avec un client ou un serveur basé sur OpenSSL, afin de mener un déni de service.
Produits concernés : Cisco ASR, Cisco ATA, AsyncOS, Cisco Catalyst, Cisco Content SMA, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Nexus par Cisco, NX-OS, Cisco Prime Access Registrar, Prime Collaboration Assurance, Cisco Prime DCNM, Prime Infrastructure, Cisco Router, Cisco CUCM, Cisco Manager Attendant Console, Cisco Wireless IP Phone, Cisco WSA, Cisco Wireless Controller, HP Operations, IRAD, Tivoli Storage Manager, OpenSSL, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle Identity Management, Oracle iPlanet Web Server, Tuxedo, VirtualBox, WebLogic, Oracle Web Tier.
Gravité : 2/4.
Conséquences : déni de service du serveur, déni de service du service, déni de service du client.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 16/02/2017.
Références : 2003480, 2003620, 2003673, 2004940, CERTFR-2017-AVI-035, cisco-sa-20170130-openssl, cpujan2018, cpuoct2017, CVE-2017-3733, HPESBGN03728, VIGILANCE-VUL-21871.

Description de la vulnérabilité

OpenSSL gère la possibilité de renégocier les options d'une connexion TLS en cours de session.

Cependant, pour certaines combinaisons d'algorithmes, lorsque l'option "Encrypt-Then-Mac" est activée ou désactivé en cours de session, une erreur fatale au processus se produit.

Un attaquant peut donc inverser l'état de l'option "Encrypt-Then-Mac" dans une renégociation TLS avec un client ou un serveur basé sur OpenSSL, afin de mener un déni de service.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur IBM Tivoli Storage Manager :