Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
IBM Tivoli Storage Manager 5.5
IBM Tivoli Storage Manager 6.1
IBM Tivoli Storage Manager 6.2
IBM Tivoli Storage Manager >= 6.3
IBM Tivoli Storage Manager < 6.3.5.1
IBM Tivoli Storage Manager >= 7.1
IBM Tivoli Storage Manager < 7.1.4
Betroffene Plattformen:
GNU/Linux
HP-UX family of operating systems
IBM AIX
Oracle Solaris
Aufgrund der fehlerhaften Prüfung der 'ASNODENAME'-Option können lokale,
nicht authentifizierte Angreifer sensitive Daten von Benutzern des IBM
Tivoli Storage Managers ausspähen und erhalten darüber hinaus Lese- und
Schreibzugriff auf diese Daten.
IBM informiert über diese Schwachstelle und stellt Sicherheitsupdates für
die betroffene Software zur Verfügung. Benutzern von IBM Tivoli Storage
Manager 5.5, 6.1 und 6.2 wird ein Update des Servers auf Version 6.3.5.1
oder 7.1.4 empfohlen. Darüber hinaus empfiehlt IBM Proxy-Berechtigungen nur
an autorisierte Nutzer zu vergeben.
Workaround:
Über den Befehl 'QUERY PROXY' lässt sich herausfinden, welche Benutzer
Proxy-Berechtigungen erhalten haben. Über den Befehl 'REVOKE PROXY' kann
unautorisierten Benutzern aus dieser Gruppe die Berechtigung entzogen
werden.
Patch:
IBM Security Bulletin swg21975957
http://www-01.ibm.com/support/docview.wss?uid=swg21975957
CVE-2015-7408: Schwachstelle in IBM Tivoli Storage Manager ermöglicht
Ausspähen von Informationen
Über die ‘ASNODENAME’-Option können Klienten des IBM Tivoli Storage Managers
als Proxy für andere Klienten fungieren. Dadurch haben sie auch Lese- und
Schreibzugriff auf die Backup-Daten der anderen Klienten. Der Storage
Manager Server prüft diese Berechtigungen nicht ausreichend.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0270/
IBM Security Bulletin swg21975957:
http://www-01.ibm.com/support/docview.wss?uid=swg21975957
Schwachstelle CVE-2015-7408 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7408
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
