Vulnerabilidades

IBM BigFix Platform 9.2 y 9.5 almacena información potencialmente confidencial en la memoria de proceso que puede ser leída por un atacante local con permisos elevados. ID de IBM X-Force: 155007

IBM BigFix WebUI Profile Management 6 y Software Distribution 23 son vulnerables a la inyección de SQL. Un atacante remoto podría enviar sentencias SQL especialmente diseñadas, que permitirían al atacante ver, añadir, modificar o eliminar información en la base de datos del back-end. IBM X-Force ID: 155886.

IBM BigFix Platform versión 9.5 podría permitir a cualquier usuario identificado cargar cualquier archivo en cualquier ubicación del servidor con privilegios de tipo root. Esto da como resultado la ejecución de código en el sistema subyacente con privilegios de tipo root. ID de IBM X-Force: 155887.

IBM BigFix Platform, en sus versiones 9.2 y 9.5, podría permitir a un atacante consultar el relay de manera remota y obtener información sobre las actualizaciones y fixlets desplegados en los sitios asociados debido a la no habilitación de un acceso autenticado. IBM X-Force ID: 156869.

IBM BigFix Compliance, desde la versión 1.7 hasta la 1.9.9.1 (TEMA SUAv1 SCA SCM), es vulnerable a una inyección de HTML. Un atacante remoto podría inyectar código HTML que, al ser visualizado, se ejecuta en el navegador web de la víctima dentro del contexto de seguridad del sitio que aloja. IBM X-Force ID: 123677.

IBM BigFix Compliance, desde la versión 1.7 hasta la 1.9.91 (TEMA SUAv1 SCA SCM), no valida un certificado de manera correcta o en absoluto. Esta debilidad podría permitir a un atacante suplantar una entidad fiable mediante la utilización de un ataque Man-in-the-Middle (MitM). El software podría conectarse a un host…

IBM BigFix Compliance, desde la versión 1.7 hasta la 1.9.9.1 (TEMA SUAv1 SCA SCM), almacena información sensible en parámetros de URL. Esto podría llevar a una divulgación de información si partes no autorizadas tienen acceso a las URL mediante registros del servidor, cabeceras referrer o el historial del navegador.…

IBM BigFix Compliance, desde la versión 1.7 hasta la 1.9.91, divulga información sensible a usuarios sin autorización. Esta información puede emplearse para ejecutar más ataques en el sistema. IBM X-Force ID: 123429.

IBM BigFix Platform, desde la versión 9.2.0 hasta la 9.2.14 y desde la versión 9.5 hasta la 9.5.9, no renueva una variable de sesión tras una autenticación exitosa. Esto podría desembocar en una vulnerabilidad de fijación/secuestro de sesión. Esto podría forzar a un usuario a emplear una cookie que podría ser conocida…

IBM BigFix Platform, desde la versión 9.2.0 hasta la 9.2.14 y de la versión 9.5 hasta la 9.5.9, no establece el atributo "secure" en los tokens de autorización o en las cookies de sesión. Los atacantes podrían ser capaces de obtener el valor de las cookies mediante el envío de un enlace http:// a un usuario o…

IBM BigFix Platform, de la versión 9.2.0 hasta la 9.2.14 y desde la versión 9.5 hasta la 9.5.9, almacena información sensible en parámetros de la URL. Esto podría llevar a una divulgación de información si partes no autorizadas tienen acceso a las URL mediante registros del servidor, cabeceras referrer o el historial…

IBM BigFix Platform, desde la versón 9.2.0 hasta la 9.2.14 y desde la versión 9.5 hasta la 9.5.9, no establece el atributo "HttpOnly" en los tokens de autorización o en las cookies de sesión. Si también existiese una vulnerabilidad Cross-Site Scripting (XSS), los atacantes podrían obtener los valores de la cookie…

IBM BigFix Platform, desde la versión 9.2.0 hasta la 9.2.14 y de la versión 9.5 hasta la 9.5.9, podría permitir que un atacante remoto secuestre la acción de clicado de la víctima. Al convencer a una víctima para que visite un sitio web malicioso, un atacante remoto podría explotar esta vulnerabilidad para secuestrar…

IBM BigFix Platform, desde la versión 9.2.0 hasta la 9.2.14 y desde la versión 9.5 hasta la 9.5.9, divulga información sensible a usuarios no autorizados. Esta información puede emplearse para ejecutar más ataques en el sistema. IBM X-Force ID: 140757.

IBM BigFix Platform, desde la versión 9.2.0 hasta la 9.2.14 y desde la 9.5 hasta la 9.5.9 es vulnerable a ataques de separación de respuesta HTTP, provocados por la validación incorrecta de entradas proporcionadas por el usuario. Un atacante remoto podría explotar esta vulnerabilidad para inyectar cabeceras HTTP…

IBM BigFix Platform 9.5 - 9.5.9 almacena las credenciales de usuario en formato de texto plano, por lo que podrían ser leídos por un usuario local. IBM X-Force ID: 123910.

IBM BigFix Platform 9.2 y 9.5 transmite datos sensibles o críticos para la seguridad en texto claro en un canal de comunicación que puede ser rastreado por actores no autorizados. IBM X-Force ID: 143745.

IBM BigFix Platform 9.2 y 9.5 es vulnerable a ataques de Cross-Site Request Forgery (CSRF). Esto podría permitir que un atacante ejecute acciones maliciosas y no autorizadas transmitidas desde un usuario en el que la web confía. IBM X-Force ID: 140761.

IBM BigFix Platform 9.2 y 9.5 emplea una configuración de bloqueo de cuenta inadecuada que podría permitir que un atacante remoto descifre credenciales de cuenta por fuerza bruta. IBM X-Force ID: 140756.

IBM BigFix Platform 9.2 y 9.5 es vulnerable a Cross-Site Scripting. Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales en una sesión de confianza. IBM…

IBM BigFix Remote Control, en versiones anteriores a Interim Fix pack 9.1.2-TIV-IBRC912-IF0001, facilita que atacantes Man-in-the-Middle (MitM) descifren tráfico aprovechando una debilidad en su protocolo de cifrado. IBM X-Force ID: 105197.

IBM BigFix Remote Control en versiones anteriores a la Interim Fix pack 9.1.2-TIV-IBRC912-IF0001 permite de manera incorrecta los certificados autofirmados, lo que puede dar lugar a que atacantes remotos realicen ataques de suplantación mediante vectores sin especificar. IBM X-Force ID: 105200.

Vulnerabilidad de Cross-Site Request Forgery (CSRF) en IBM BigFix Platform 9.0, 9.1, 9.2 y versiones 9.5 anteriores a la 9.5.2 permite que atacantes remotos secuestren la autenticación de usuarios arbitrarios para peticiones que inserten secuencias XSS. IBM X-Force ID: 111363.

IBM BigFix Platform 9.0, versiones 9.1 anteriores a la 9.1.8 y versiones 9.2 anteriores a la 9.2.8, permite que usuarios autenticados remotos ejecuten comandos arbitrarios aprovechando el acceso al servidor de informes. IBM X-Force ID: 111302.

IBM Remote Control v9 podría permitir que un usuario local emplee el componente para reemplazar archivos a los que no tiene acceso de escritura y que puede hacer que se ejecuten con privilegios Local System o root. IBM X-Force ID: 123912.