PT-2024-12148 · Ibm · Ibm Db2

Publicado 2024-01-22 · Atualizado 2024-03-07 · CVE-2023-27859

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

IBM Db2, versões 10.1 a 11.1

Descrição

A vulnerabilidade permite que um usuário remoto execute código arbitrário ao instalar arquivos JAR com nomes idênticos em vários bancos de dados. Um usuário poderia explorar essa vulnerabilidade instalando um arquivo JAR malicioso que sobrescreva o arquivo JAR existente com o mesmo nome em outro banco de dados.

Recomendações

Para as versões 10.1 a 11.1 do IBM Db2, considere restringir o acesso à instalação de arquivos jar em vários bancos de dados para minimizar o risco de exploração. Como solução temporária, considere desativar a instalação de arquivos jar até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Uncontrolled Search Path Element

Enumeração de Fraquezas

CWE-427

Identificadores relacionados

CVE-2023-27859

Produtos afetados

Ibm Db2

Referências · 7

• https://twitter.com/CVEnew/status/1749526621172748486 · Publicação no Twitter
• https://security.netapp.com/advisory/ntap-20240307-0002 · Nota
• https://osv.dev/vulnerability/CVE-2023-27859 · Aviso do Fabricante
• https://ibm.com/support/pages/node/7105503 · Aviso do Fabricante
• https://exchange.xforce.ibmcloud.com/vulnerabilities/249205 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-27859 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1749543643889668351 · Publicação no Twitter