Podatności IBM Guardium Data Protection

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na ominięcie ograniczeń bezpieczeństwa z powodu nieprawidłowej autoryzacji.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu SQL.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu SQL.

IBM Guardium Data Protection 12.2 może pozwolić lokalnemu atakującemu na uzyskanie podwyższonych uprawnień z powodu nieprawidłowego zarządzania uprawnieniami.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowego ograniczenia ścieżki do katalogu.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z powodu nieprawidłowej neutralizacji specjalnych elementów użytych w poleceniu OS.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na ominięcie zabezpieczeń z powodu podatności na cross-site request forgery (CSRF).

IBM Guardium Data Protection 12.2 jest podatny na lokalną eskalację uprawnień przez binarny plik nmap_wrapper z ustawionym bitem SUID na urządzeniu Collector. Lokalny atakujący z niskimi uprawnieniami może wykorzystać niewystarczającą walidację argumentów w binarnym pliku SUID, aby wykonać dowolne polecenia jako root, co prowadzi do pełnej kompromitacji urządzenia Collector.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na ominięcie zabezpieczeń z powodu nieprawidłowej walidacji certyfikatów.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na ominięcie zabezpieczeń z powodu podatności na cross-site request forgery.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na ominięcie zabezpieczeń z powodu nieprawidłowej autoryzacji.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej.

IBM Guardium Data Protection 12.2 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji przesyłania wtyczki Universal Connector. Uprzywilejowany, uwierzytelniony atakujący może podać złośliwą nazwę pliku, która trafia do polecenia powłoki wykonywanego przez aplikację, co może skutkować wykonaniem dowolnych poleceń z uprawnieniami roota.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy nieprawidłowego oczyszczania danych wprowadzanych przez użytkownika.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu, uwierzytelnionemu atakującemu na obejście ograniczeń bezpieczeństwa z powodu niewłaściwej autoryzacji. Luka umożliwia dostęp do funkcji lub zasobów, do których użytkownik nie powinien mieć uprawnień.

IBM Guardium Data Protection 12.2 zawiera podatność na zaszyte na stałe poświadczenia w plikach binarnych hardware_assess/obstore. Użytkownik z niskimi uprawnieniami może odzyskać zaszyte na stałe sekrety główne produktu, co może skutkować nieautoryzowanym dostępem do wewnętrznej bazy danych i naruszeniem wrażliwych informacji systemowych.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu, uwierzytelnionemu atakującemu na przechodzenie między katalogami w systemie z powodu podatności typu path traversal. Luka umożliwia dostęp do plików poza zamierzonym katalogiem.

IBM Guardium Data Protection 12.2 może pozwolić lokalnemu atakującemu na uzyskanie podwyższonych uprawnień z powodu niewłaściwego zarządzania uprawnieniami. Luka umożliwia eskalację uprawnień w systemie.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego. Luka umożliwia wstrzyknięcie poleceń.

IBM Guardium Data Protection 12.2 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (podatność XSS).

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu, uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego. Luka umożliwia wstrzyknięcie poleceń.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu, uwierzytelnionemu atakującemu na uzyskanie podwyższonych uprawnień z powodu braku autoryzacji w interfejsie REST API. Luka umożliwia eskalację uprawnień.

IBM Guardium Data Protection 12.2 zawiera podatność na wstrzyknięcie poleceń w poleceniu CLI import remotelog_config. Wysoce uprzywilejowany, uwierzytelniony użytkownik może wstrzyknąć polecenia powłoki poprzez parametr nazwy pliku, co może skutkować wykonaniem dowolnych poleceń z uprawnieniami roota oraz wpłynąć na poufność, integralność i dostępność systemu.

IBM Guardium Data Protection 12.2 zawiera podatność na wstrzyknięcie SQL w usłudze Analytic Grid Service Handler. Użytkownik z niskimi uprawnieniami, po uwierzytelnieniu, może wstrzykiwać instrukcje SQL przez endpoint siatki spraw analitycznych, co może prowadzić do nieautoryzowanego dostępu do danych.

IBM Guardium Data Protection 12.2 zawiera podatność na wstrzyknięcie poleceń w poleceniu CLI create csr wildcard. Uprzywilejowany użytkownik CLI, po uwierzytelnieniu, może wstrzyknąć dowolne polecenia powłoki przez dane wejściowe aliasu, co prowadzi do wykonania poleceń z uprawnieniami roota.

IBM Guardium Data Protection 12.2 zawiera podatność na wstrzyknięcie SQL w komponencie New Query Builder REST Processor. Użytkownik z niskimi uprawnieniami, po uwierzytelnieniu, może wstrzykiwać instrukcje SQL przez endpoint REST newQueryBuilder, co może prowadzić do nieautoryzowanego dostępu do danych.

IBM Guardium Data Protection 12.2 zawiera podatność na wstrzyknięcie SQL w komponencie Load Balancer Groups. Nieuwierzytelniony użytkownik może wstrzykiwać instrukcje SQL przez endpoint Load Balancer Servlet, co może prowadzić do nieautoryzowanego dostępu do danych.

IBM Guardium Data Protection 12.2 umożliwia uwierzytelnionemu użytkownikowi wykonanie dowolnych poleceń z niskimi uprawnieniami w systemie z powodu niewłaściwej walidacji danych wejściowych dostarczanych przez użytkownika.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.

IBM Guardium Data Protection 12.2 jest podatny na lukę braku uwierzytelniania w LoadBalancerServlet. Nieuwierzytelniony użytkownik może uzyskać dostęp do uprzywilejowanych operacji load balancera, co może skutkować nieautoryzowanymi działaniami i wpłynąć na integralność oraz dostępność systemu.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu atakującemu na obejście ograniczeń bezpieczeństwa z powodu braku uwierzytelniania dla ChangeTrackerServlet.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.

IBM Guardium Data Protection 12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.

IBM Guardium Data Protection 12.2 zawiera podatność typu cross-site scripting wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.

IBM Guardium Data Protection 12.2 jest podatny na obejście uwierzytelniania, które pozwala nieuwierzytelnionemu zdalnemu atakującemu ominąć kontrolę dostępu opartą na adresach IP i uzyskać dostęp do interfejsu zarządzania Guardium.

IBM Guardium Data Protection 12.2 zawiera podatność typu cross-site scripting wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Uwierzytelniony zdalny atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.

IBM Guardium Data Protection 12.2 jest podatny na nieuwierzytelnioną niebezpieczną deserializację oraz kontrolowane przez atakującego odbiciowe wywoływanie metod w listenerze Change Audit System (CAS). Atakujący sieciowy mogący połączyć się z portem TCP 16017 może przesłać spreparowane komunikaty serializowane i potencjalnie doprowadzić do niepożądanego wykonania kodu w urządzeniu Guardium.

IBM Guardium Data Protection 12.2 może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu w systemie z powodu deserializacji niezaufanych danych.

IBM Guardium Data Protection 12.2 jest podatny na uwierzytelnioną podatność wstrzykiwania poleceń systemu operacyjnego w funkcji exportCertificate. Skuteczne wykorzystanie może pozwolić atakującemu na wykonanie nieautoryzowanych poleceń i wpłynąć na poufność, integralność oraz dostępność zaatakowanego systemu.

IBM Guardium Data Protection 12.2 jest podatny na nieuwierzytelnioną podatność wstrzykiwania SQL drugiego rzędu w funkcji generateInsertQuery w pliku change-tracker-data.sql. Zdalny atakujący może wstrzyknąć złośliwy kod SQL, który jest następnie przetwarzany przez aplikację, co może prowadzić do naruszenia poufności, integralności i dostępności zaatakowanego systemu.