Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

IBM Spectrum Protect Server <= 6.3 IBM Spectrum Protect Server >= 7.1.0.0
IBM Spectrum Protect Server < 7.1.8 IBM Spectrum Protect Server >= 8.1.0.0
IBM Spectrum Protect Server < 8.1.3 Betroffene Plattformen: GNU/Linux HP-UX IBM AIX Microsoft Windows Oracle Solaris Zwei Schwachstellen in IBM DB2 LUW (Linux, Unix und Windows) 9.2, 10.1, 10.5 und 11.1 betreffen auch IBM Spectrum Protect (vormals: Tivoli Storage Manager) Server und ermöglichen einem lokalen, nicht authentisierten Angreifer das Überschreiben von DB2-Dateien und in der Folge das Verursachen eines Denial-of-Service (DoS)-Zustandes sowie das Ausführen beliebigen Programmcodes. IBM bestätigt die Schwachstelle für IBM Spectrum Protect (vormals: Tivoli Storage Manager) Server in den Versionen 6.3 und früher, 7.1.0.0 bis 7.1.7.x auf AIX-, HP-UX-, Linux-, Solaris- und Windows-Systemen und 8.1.0.0 bis 8.1.2.x auf AIX-, Linux- und Windows-Systemen und stellt die Versionen 7.1.8 und 8.1.3 als Sicherheitsupdates zur Verfügung. Patch: IBM Security Bulletin 2009194 http://www.ibm.com/support/docview.wss?uid=swg22009194

CVE-2017-1297: Schwachstelle in IBM DB2 ermöglicht Ausführung beliebigen
Programmcodes

In IBM DB2 (beinhaltet DB2 Connect Server) existiert eine Schwachstelle
aufgrund unsauberer Prüfung der Speichergrenzen, durch die es zu einem
Pufferüberlauf auf dem Stack (Stack-based Buffer Overflow) kommen kann. Ein
lokaler, nicht authentisierter Angreifer kann diese Schwachstelle ausnutzen,
um über den Kommandozeilenprozess beliebigen Programmcode auszuführen.

CVE-2017-1105: Schwachstelle in IBM DB2 ermöglicht Denial-of-Service-Angriff

In IBM DB2 (beinhaltet DB2 Connect Server) existiert eine Schwachstelle,
durch die es zu einem Pufferüberlauf (Buffer Overflow) kommen kann. Ein
lokaler, nicht authentisierter Angreifer kann diese Schwachstelle ausnutzen,
um DB2-Dateien zu überschreiben und dadurch einen Denial-of-Service
(DoS)-Zustand zu bewirken.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1761/

Schwachstelle CVE-2017-1105 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1105

Schwachstelle CVE-2017-1297 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1297

IBM Security Bulletin 2009194:
http://www.ibm.com/support/docview.wss?uid=swg22009194

IBM PSIRT Blog: IBM Security Bulletin: Multiple DB2 vulnerabilities affect IBM
Spectrum Protect (formerly Tivoli Storage Manger) Server (CVE-2017-1105,
CVE-2017-1297):
https://www.ibm.com/blogs/psirt/ibm-security-bulletin-multiple-db2-vulnerabilities-affect-ibm-spectrum-protect-formerly-tivoli-storage-manger-server-cve-2017-1105-cve-2017-1297/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.