Vulnerabilidades

IBM Campaign 9.1.0 y 9.1.2 podría permitir que un usuario local obtenga privilegios de administrador debido a que la aplicación no valida los permisos de acceso. IBM X-Force ID: 153382.

IBM QRadar Advisor con Watson versión 1.14.0 divulga información sensible a usuarios no autorizados. La información puede ser usada para montar futuros ataques sobre el sistema. ID de IBM X-Force: 147810.

Las versiones 7.2 y 7.3 de IBM QRadar SIEM son vulnerables a ataques de tipo XML External Entity Injection (XXE) al procesar datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información sensible o consumir recursos de la memoria. IBM X-Force ID: 147709.

IBM QRadar SIEM 7.2 y 7.3 es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales en una sesión de confianza. IBM…

IBM Maximo Asset Management 7.6 podría permitir que un usuario autenticado enumere nombres de usuario mediante una petición HTTP especialmente manipulada. IBM X-Force ID: 145966.

IBM QRadar SIEM 7.2 y 7.3 emplea credenciales embebidas que podrían permitir que un atacante omita la autenticación configurada por el administrador. IBM X-Force ID: 144656.

IBM QRadar SIEM 7.2 y 7.3 emplea algoritmos criptográficos más débiles de lo esperado que podrían permitir que un atacante descifre información altamente sensible. IBM X-Force ID: 144653.

IBM QRadar SIEM 7.2 y 7.3 permite que las páginas web se almacenen localmente, lo que permite que sean leídas por otro usuario en el sistema. IBM X-Force ID: 143118.

IBM QRadar SIEM 7.2.8 y 7.3 no valida un certificado, o lo hace de forma incorrecta. Esta debilidad podría permitir que un atacante suplante una entidad de confianza mediante un ataque de Man-in-the-Middle (MitM). IBM X-Force ID: 133120.

IBM WebSphere Application Server 8.5 y 9.0 podría permitir que un atacante remoto obtenga privilegios elevados en el sistema. Esto ocurre cuando un dominio de seguridad se configura para utilizar un repositorio federado que no sea el repositorio federado global y luego se migra a una nueva versión de WebSphere…

IBM StoredIQ 7.6.0 no implementa una autorización adecuada de los roles de usuario debido a que era posible que un usuario con pocos privilegios accediese a los endpoints de la aplicación para usuarios con muchos privilegios y, además, realizase ciertas acciones de cambio de estado restringidas a un usuario con muchos…

IBM StoredIQ 7.6 es vulnerable a ataques Cross-Site Request Forgery (CSRF). Esto podría permitir que un atacante ejecute acciones maliciosas y no autorizadas transmitidas desde un usuario en el que la web confía. IBM X-Force ID: 153118.

IBM DB2 para Linux, UNIX y Windows 9.7, 10.1, 10.5 y 11.1 db2pdcfg es vulnerable a un desbordamiento de búfer basado en pila provocado por una comprobación de límites incorrecta que podría permitir que un atacante ejecute código arbitrario. IBM X-Force ID: 152462.

IBM Rational Collaborative Lifecycle Management desde la versión 5.0 hasta la 5.0.2 y desde la versión 6.0 hasta la 6.0.6, es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades…

IBM Maximo Asset Management 7.6 es vulnerable a Cross-Site Scripting. Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales en una sesión de confianza. IBM…

Desde la versión 9.0.0.0 hasta la 9.0.0.9, IBM WebSphere Application Server es vulnerable a ataques de tipo XEE (XML External Entity Injection) al procesar datos XML. Un atacante remoto podría explotar esta vulnerabilidad para exponer información sensible o consumir recursos de la memoria. IBM X-Force ID: 152534.

La versiones 9.0.0.0, 9.0.0.11, 10.0.0.0 y 10.0.0.14 de IBM Integration Bus (inclusivas las 8.0.0.0 y 8.0.0.9 de WebSphere Message Broker) tienen permisos inseguros en determinados archivos. Un atacante local podría explotar esta vulnerabilidad para modificar o borrar dichos archivos con un impacto desconocido. IBM…

Los servicios IAM (Identity and Access Management) como IBM Cloud Private 3.1.0 no emplean un canal seguro, como SSL, para intercambiar información solo cuando se accede de forma interna desde dentro del clúster. Podría ser posible para un atacante con acceso al tráfico de red rastrear paquetes desde la conexión y…

IBM API Connect 2018.1 hasta el 2018.3.7 podría permitir que un atacante no autenticado provoque una denegación de servicio debido a que no se establecen límites en el tamaño de la carga útil de JSON. IBM X-Force ID: 148802.

IBM Cloud Private 2.1.0 podría permitir que un usuario local obtenga la clave privada CA debido a que es legible globalmebte en el nodo boot/master. IBM X-Force ID: 150901.

IBM WebSphere Application Server 7.0, 8.0, 8.5 y 9.0 empleando Enterprise bundle Archives (EBA) podría permitir que un atacante local salte directorios en el sistema. Al convencer a una víctima para que extraiga un archivo ZIP especialmente manipulado que contiene secuencias "punto punto barra" (../), un atacante…

Report Builder en Jazz Reporting Service, de la versión 5.0 hasta la 5.0.2 y de la versión 6.0 hasta la 6.0.6, podría permitir que un usuario autenticado obtenga información sensible más allá de sus privilegios asignados. IBM X-Force ID: 144579.

Se ha dejado sin establecer un bit de bloqueo de protección de escritura tras el arranque en una generación más antigua de los servidores x de Lenovo y IBM System, lo que podría permitir que un atacante con acceso de administrador modifique el subconjunto de memoria flash que contiene Intel SPS (Server Platform…

La herramienta de verificación de instalación de IBM WebSphere Application Server 7.0, 8.0, 8.5 y 9.0 es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar…

IBM WebSphere Commerce, desde la versión 9.0.0.0 hasta la 9.0.0.6, podría permitir la inyección de código del lado del servidor debido a un control inadecuado de las entradas. IBM X-Force ID: 149828.