Vulnerabilidades

IBM Tivoli Application Dependency Discovery Manager en sus versiones 7.2.2 y 7.3 es vulnerable a ataques Cross-Site Request Forgery (CSRF). Esto podría permitir que un atacante ejecute acciones maliciosas y no autorizadas transmitidas desde un usuario en el que la web confía. IBM X-Force ID: 11029.

IBM UrbanCode Deploy desde la versión 6.1 hasta la 6.9.6.0 podría permitir que un atacante remoto salte directorios del sistema. Un atacante no autenticado podría alterar las implementaciones de UCD. IBM X-Force ID: 135522.

La información sensible sobre la configuración del servidor y la base de datos de IBM UrbanCode Deploy desde la versión 6.1 hasta la 6.9.6.0 puede ser obtenida por un usuario al que se le hayan otorgado permisos elevados en la interfaz de usuario, incluso después de que dichos permisos elevados hayan sido revocados.…

IBM Rational ClearQuest desde la versión 8.0 hasta la 8.0.1.9 y desde la 9.0 hasta la 9.0.1.3 (CQ OSLC linkages, EmailRelay) fracasa a la hora de comprobar el certificado SSL contra el nombre de host solicitado. Está sujeto a un ataque Man-in-the-Middle (MitM) con un servidor de suplantación que observa todos los…

IBM Rhapsody Model Manager 6.0.6 es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales en una sesión de confianza.…

IBM WebSphere MQ, desde la versión 8.0.0.2 hasta la 8.0.0.8 y desde la versión 9.0.0.0 hasta la 9.0.0.3, podría permitir que los usuarios tengan más autoridad de la que deberían si un administrador MQ crea un nombre de grupo de usuarios no válido. IBM X-Force ID: 142888.

IBM Maximo Asset Management, desde la versión 7.6 hasta la 7.6.3, podría permitir que un usuario autenticado obtenga información sensible desde la API WhoAmI. IBM X-Force ID: 142290.

Los productos IBM Jazz Foundation (IBM Rational DOORS Next Generation, de la versión 5.0 a la 5.0.2 y desde la versión 6.0 hasta la 6.0.5) son vulnerables a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las…

IBM Security Identity Governance Virtual Appliance desde la versión 5.2 hasta la 5.2.3.2 podría permitir que un atacante local inyecte comandos en archivos maliciosos que podrían ser ejecutados por el administrador. IBM X-Force ID: 135855.

IBM Security Guardium Big Data Intelligence (SonarG) desde la versión 5.2 hasta la 5.2.3.2 genera un mensaje de error que incluye información sensible sobre su entorno, usuarios o datos asociados. IBM X-Force ID: 127400.

IBM Security Identity Governance Virtual Appliance, desde la versión 5.2 hasta la 5.2.3.2, no requiere que los usuarios tengan contraseñas fuertes por defecto, lo que facilita que los atacantes comprometan las cuentas de usuario. IBM X-Force ID: 127399.

IBM Security Identity Governance y Intelligence Virtual Appliance desde la versión 5.2 hasta la 5.2.3.2 revela información sensible a usuarios no autorizados. Esta información puede emplearse para ejecutar más ataques en el sistema. IBM X-Force ID: 127396.

IBM Security Identity Governance Virtual Appliance, desde la versión 5.2 hasta la 5.2.3.2, especifica permisos para un recurso crítico para la seguridad de forma que permite que ese recurso sea leído o modificado por actores no planeados. IBM X-Force ID: 127342.

IBM Security Identity Governance Virtual Appliance, desde la versión 5.2 hasta la 5.2.3.2, no establece el atributo secure en los tokens de autorización o las cookies de sesión. Los atacantes podrían ser capaces de obtener el valor de las cookies mediante el envío de un enlace http:// a un usuario o colocando este…

IBM Security Identity Governance Virtual Appliance desde la versión 5.2 hasta la 5.2.3.2 emplea algoritmos criptográficos más débiles de lo esperado que podrían permitir que un atacante descifre información altamente sensible. IBM X-Force ID: 126859.

IBM Maximo Asset Management, de la versión 7.6 a la 7.6.3, se instala con una cuenta de administrador por defecto que podría ser empleada por un atacante remoto para obtener acceso de administrador al sistema. Esta vulnerabilidad existe debido a una solución incompleta para CVE-2015-4966. IBM X-Force ID: 142116.

IBM Maximo Asset Management 7.6 es vulnerable a Cross-Site Scripting. Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales en una sesión de confianza. IBM…

IBM Spectrum Symphony y Platform Symphony 7.1.2 y 7.2.0.2 podrían permitir que un usuario autenticado ejecute comandos arbitrarios debido al manejo incorrecto de entradas proporcionadas por el usuario. IBM X-Force ID: 143622.

IBM Sterling B2B Integrator Standard Edition 5.2.0.1 - 5.2.6.3 es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales…

El portal de desarrollo de IBM API Connect 5.0.0.0-5.0.8.3 no aplica TFA (Two Factor Authentication) al restablecer una contraseña de usuario, pero lo aplica para el resto de escenarios de inicio de sesión. IBM X-Force ID: 144483.

Se ha descubierto un problema en mspack/chmd.c en libmspack en versiones anteriores a la 0.7alpha. Hay un error por un paso en la macro TOLOWER() para la descompresión CHM.

Se ha descubierto un problema en kwajd_read_headers en mspack/kwajd.c en libmspack en versiones anteriores a la 0.7alpha. Las extensiones de encabezado de archivo KWAJ incorrectas pueden provocar una sobrescritura de uno o dos bytes.

Se ha descubierto un problema en mspack/chmd.c en libmspack en versiones anteriores a la 0.7alpha. No rechaza los nombres de archivos CHM en blanco.

Se ha descubierto un problema en mspack/chmd.c en libmspack en versiones anteriores a la 0.7alpha. Hay un error por un paso en las comprobaciones de validez de los números de chunk de CHM PMGI/PMGL que podría conducir a una denegación de servicio (referencia de datos no inicializados y cierre inesperado de la…

La función IMM2 First Failure Data Capture recopila información de diagnóstico y registros de los módulos de gestión cuando se detecta un error de hardware. Esta información está disponible para su descarga mediante un servidor SFTP alojado en la interfaz de gestión de red de IMM2. En versiones anteriores a la 4.90…