CVE-2016-2889
WysokieStreszczenie
Podatność CSRF w Report Builder i Data Collection Component (DCC) w IBM Jazz Reporting Service (JRS) umożliwia zdalnym uwierzytelnionym użytkownikom przejęcie sesji autoryzacyjnej innych użytkowników. Dotyczy to wersji 5.x przed 5.0.2 ifix016, 6.0 oraz 6.0.1 przed 6.0.1 ifix005, a także 6.0.2 przed ifix002.
Ocena ryzyka
Przejęcie sesji autoryzacyjnej może prowadzić do nieautoryzowanego dostępu do danych i funkcji systemu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji IBM Jazz Reporting Service, aby usunąć tę podatność oraz wdrożenie dodatkowych środków ochrony przed atakami CSRF.
Inne podatności w IBM Jazz Reporting Service (JRS)
Zobacz wszystkie- CVE-2015-7464Wysokie
Report Builder w IBM Jazz Reporting Service (JRS) w wersjach 5.x przed 5.0.2-Rational-CLM-ifix011 oraz 6.0 przed 6.0.0-Rational-CLM-ifix005 jest podatny na atak, który może prowadzić do awarii serwera Report Builder poprzez specjalnie przygotowane żądanie do URL instancji Report Builder.
- CVE-2015-7470Wysokie
Report Builder w IBM Jazz Reporting Service (JRS) w wersjach 5.x przed 5.0.2-Rational-CLM-ifix011 oraz 6.0 przed 6.0.0-Rational-CLM-ifix005 jest podatny na ataki typu man-in-the-middle, co pozwala na uzyskanie wrażliwych informacji, w tym danych logowania.
- CVE-2015-7465Wysokie
Podatność CSRF w Lifecycle Query Engine (LQE) w IBM Jazz Reporting Service (JRS) 6.0 przed wersją 6.0.0-Rational-CLM-ifix005 umożliwia zdalnym uwierzytelnionym użytkownikom przejęcie autoryzacji dowolnych użytkowników dla żądań, które wstawiają sekwencje XSS.
Oryginalny opis (angielski, źródło NVD)
Cross-site request forgery (CSRF) vulnerability in the Report Builder and Data Collection Component (DCC) in IBM Jazz Reporting Service (JRS) 5.x before 5.0.2 ifix016, 6.0 and 6.0.1 before 6.0.1 ifix005, and 6.0.2 before ifix002 allows remote authenticated users to hijack the authentication of arbitrary users.