云安全日报201016:IBM企业资产管理软件发现执行任意代码漏洞,需要尽快升级
IBM Maximo Asset Management是美国IBM公司的一套综合性资产生命周期和维护管理解决方案。该方案能够在一个平台上管理所有类型的资产,如设施、交通运输等,并对这些资产实现单点控制。10月15日,IBM发布安全公告,IBM Maximo 企业资产管理软件发现执行任意代码高危漏洞,需要尽快升级。以下是漏洞详情:
漏洞详情
来源:
https://www.ibm.com/support/pages/node/6348628
Jackson 是基于Java平台的一套主要用于处理java json的数据处理工具。
Jackson Core中的多个漏洞影响IBM Maximo Asset Management。
1.CVEID:CVE-2017-15095 CVSS评分: 9.8 高危
Jackson JSON库可能允许远程攻击者在系统上执行任意代码,这是由ObjectMapper的readValue()方法中的反序列化缺陷引起的。通过发送特制数据,攻击者可以利用此漏洞在系统上执行任意代码。
2.CVEID:CVE-2017-17485 CVSS评分: 9.8 高危
由于默认键入功能的缺陷,Jackson-databind可能允许远程攻击者在系统上执行任意代码。攻击者可能利用此漏洞在系统上执行任意代码。
3.CVEID:CVE-2017-7525 CVSS评分: 9.8 高危
Apache Struts可能允许远程攻击者在系统上执行任意代码,这是由ObjectMapper的readValue方法中Jackson JSON库中的反序列化漏洞引起的。通过发送特制请求,攻击者可以利用此漏洞在系统上执行任意代码。
4.CVEID:CVE-2016-7051 CVSS评分:5.3 中
jackson -dataformat -xml容易受到服务器端请求伪造的影响,这是由XmlMapper中的缺陷引起的。通过使用与DTD相关的媒介,攻击者可以利用此漏洞进行SSRF攻击(Server-side Request Forge, 服务端请求伪造,由攻击者构造的攻击链接传给服务端执行造成的漏洞,一般用来在外网探测或攻击内网服务)。
受影响产品和版本
此漏洞影响以下版本的IBM Maximo Asset Management核心产品。建议的操作是更新到最新版本。
Maximo Asset Management核心产品版本受到影响:
IBM Maximo Asset Management 7.6.0, 7.6.1
如果使用受影响的核心版本,以下行业产品会受到影响:
Maximo for Aviation
Maximo for Life Sciences
Maximo for Nuclear Power
Maximo for Oil and Gas
Maximo for Transportation
Maximo for Utilities
如果使用受影响的核心版本,将会影响IBM控台产品:
SmartCloud Control Desk
IBM Control Desk
Tivoli Integration Composer
解决方案
对于Maximo Asset Management 7.6:
升级 Maximo Asset Management 7.6.1.2功能包:7.6.1.2-TIV-MAMMT-FP002或最新的临时修订可用
推荐的解决方案是从Fix Central下载适当的Interim Fix或Fix Pack,并尽快申请每个受影响的产品。
查看更多漏洞信息 以及升级请访问官网:
https://www.ibm.com/blogs/psirt/
您可能也感兴趣:
官方微博/微信
每日头条、业界资讯、热点资讯、八卦爆料,全天跟踪微博播报。各种爆料、内幕、花边、资讯一网打尽。百万互联网粉丝互动参与,TechWeb官方微博期待您的关注。

想在手机上看科技资讯和科技八卦吗?
想第一时间看独家爆料和深度报道吗?
请关注TechWeb官方微信公众帐号:
1.用手机扫左侧二维码;
2.在添加朋友里,搜索关注TechWeb。
为您推荐
SpaceX第二次商业载人任务发射日期不早于4月22日
雷军:建议尽快出台完整的信息设备适老规范和标准
特斯拉收盘价三个月来首次跌破600美元 马斯克失去世界首富桂冠
维信诺通过9.5亿元应收款保理业务提案
老虎证券:知乎赴美IPO 2020营收翻倍、平均月活7570万
特斯拉:国内超级充电桩已超6000个
《原神》移动端总收入达8.74亿美元 仅次于《王者荣耀》、《和平精英》
2月份全球制造业PMI为55.6% 已连续8个月保持在50%以上
SN10爆炸后 SpaceX使用波士顿动力的机器狗检查爆炸现场
更多
- 外媒:加州法案将要求所有自动驾驶汽车到2025年实现零排放
- SpaceX第二次商业载人任务发射日期不早于4月22日
- 特斯拉收盘价三个月来首次跌破600美元 马斯克失去世界首富桂冠
- SN10爆炸后 SpaceX使用波士顿动力的机器狗检查爆炸现场
- 群创光电总经理:关键零部件短缺 LCD面板供应紧张将持续到年底
- 产业链人士:6英寸晶圆厂目前产能也紧张 三季度产能已基本预订完毕
- 创造历史!Argo BlockChain CEO成首位用比特币付工资的高管
- 加密托管机构BitGo已获纽约州金融服务部信托许可
- 继Joby Aviation之后 德国电动飞行出租车创企Lilium拟通过SPAC上市
- Strategy Analytics:Q4需求强劲 去年全球智能音箱销量突破1.5亿台