Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

IBM Tivoli Storage Manager Client 6.3 (EOS)
IBM Tivoli Storage Manager Client 6.4
IBM Tivoli Storage Manager Client 7.1
IBM Tivoli Storage Manager Client 8.1

Betroffene Plattformen:

Microsoft Windows

Ein lokaler, nicht authentisierter Angreifer kann Passwörter von IBM
Spectrum Protect Clients und Agenten ausspähen und dadurch weitere Angriffe
ausführen.

IBM informiert über die Schwachstelle in allen Versionen des IBM Spectrum
Protect Clients für Windows. Ausdrücklich genannt werden die Versionszweige
6.3 und darunter (End of Sale), 6.4, 7.1 und 8.1. Es stehen keine
Sicherheitsupdates bereit.

Zur Mitigation der Schwachstelle veröffentlicht IBM ein Dokument, in dem
Hinweise gegeben werden, wie der Zugang zu in der Windows Registry
enthaltenen Informationen über IBM Spectrum Protect sinnvoll eingeschränkt
werden kann.

Patch:

IBM PSIRT Blog: IBM Spectrum Protect (formerly Tivoli Storage Manager)
Windows Client password exposure (CVE-2016-8939)

https://www.ibm.com/blogs/psirt/ibm-security-bulletin-ibm-spectrum-protect-formerly-tivoli-storage-manager-windows-client-password-exposure-cve-2016-8939/

CVE-2016-8939: Schwachstelle in IBM Spectrum Protect Client für Windows
ermöglicht Ausspähen von Informationen

IBM Spectrum Protect Clients und Agenten für Windows speichern
Benutzerpasswörter unsicher in der Windows Registry.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0949/

IBM PSIRT Blog: IBM Spectrum Protect (formerly Tivoli Storage Manager) Windows
Client password exposure (CVE-2016-8939):
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-ibm-spectrum-protect-formerly-tivoli-storage-manager-windows-client-password-exposure-cve-2016-8939/

IBM Security Bulletin 2003738:
https://www-01.ibm.com/support/docview.wss?uid=swg22003738

IBM Technote: Controlling access to Windows registry entries for IBM Spectrum
Protect backup-archive and data protection clients:
https://www-01.ibm.com/support/docview.wss?uid=swg22000998

Schwachstelle CVE-2016-8939 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-8939

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.