کمیته رکن چهارم – محققان امنیتی روز چهارشنبه جزئیات متعددی از آسیب‌پذیری‌های وصله‌نشده را که محصول Infosphere آی‌بی‌ام و ابزار ادغام داده کارگزار اطلاعاتی را تحت تاثیر قرار می دهد، منتشر کردند. آسیب‌پذیری‌ها در ۲۳ ام ماه می به فروشندگان گزارش شده، اما وصله‌ها هنوز منتشر نشده است. با این حال، آی‌بی‌ام برای هر یک از مسائل، مشاورهنامهای در جهت ارائه توصیه‌هایی در مورد چگونگی کاهش حملات احتمالی منتشر کرده است. آی‌بی‌ام بیان کرده است که این آسیب‌پذیری‌ها بر روی کارگزار اطلاعاتInfoSphere و نسخه های ۹.۱، ۱۱.۳ و ۱۱.۵ از DataStage تاثیر می‌گذارد.
یکی از جدی‌ترین آسیب‌پذیری‌ها دارای شناسه‌ی CVE-۲۰۱۷-۱۴۶۸ است. حفره‌ی امنیتی به این دلیل وجود دارد که مدیران و طراحان قبل از بارگذاری و اجرای پرونده های اجرایی، امضاء پرونده‌ها را بررسی نمی‌کنند و این اجازه می‌دهد یک مهاجم محلی پرونده‌های اجرایی دلخواه خود را در مسیرهای نصب شده جای داده و امتیازات را افزایش دهد. یکی دیگر از آسیب‌پذیری‌های شدید، دارای شناسه‌ی CVE-۲۰۱۷-۱۴۶۷ است که به دلیل مجوز ضعیف اجازه می‌دهد تا مهاجمان دستورات خودسرانه را اجرا کنند. آی‌بی‌ام در مشاورهنامهای گفت: «یک کاربر غیرمجاز می‌تواند ارتباط بین کارخواه و کاگزار را از بین ببرد و برخی از دستورات DataStage را بدون دسترسی ویژه باز پخش کند.»
آسیب پذیری تزریق XML که توسط یک مهاجم از راه‌دور برای دستیابی به پرونده‌های دلخواه از سامانه مشتری مورد استفاده قرار می‌گیرد نیز به عنوان مشکل شدید طبقه‌بندی شده است. محققان همچنین کشف کردند که کاربران ممتاز می‌توانند یک رونوشت از حافظه ایجاد کنند که می‌تواند حاوی اطلاعات بسیار حساس در متن مشخص، از جمله اعتبارنامه باشد. آی‌بی‌ام نیز مطلع شد که برنامه بارگذاری پرونده‌های DLL از مسیر اصلی خود، بدون تایید آن‌ها، می‌تواند به اجرای کد دلخواه منجر شود. در حالی‌که وصله‌هایی برای این حفره‌های امنیتی منتشر نشده است، آی‌بی‌ام مشاورهنامه‌ی مقابله با اکثر مسائل را ارائه کرده است. راه‌کار مقابله با آسیب‌پذیری سرقت DLL تا ۳۰ نوامبر در دسترس خواهد بود. غول تکنولوژی گفت که شرکت در حال کار بر روی آسیب‌پذیری‌های یک رابط‌کاربری جدید است.
منبع : news.asis.io
