๐ IBM MQ M2000 bis 8.0.0.3 Queue Manager Private Key erweiterte Rechte
๐ก Newskategorie: Sicherheitslรผcken
๐ Quelle: scip.ch
Allgemein
scipID: 80012
Betroffen: IBM MQ M2000 bis 8.0.0.3
Veröffentlicht: 03.01.2016
Risiko: problematisch
Erstellt: 03.01.2016
Aktualisiert: 03.01.2016
Eintrag: 66.8% komplett
Beschreibung
Eine problematische Schwachstelle wurde in IBM MQ M2000 bis 8.0.0.3 entdeckt. Dies betrifft eine unbekannte Funktion der Komponente Queue Manager. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (Private Key) ausgenutzt werden. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:
The queue manager on IBM MQ M2000 appliances before 8.0.0.4 allows local users to bypass an intended password requirement and read private keys by leveraging the existence of a stash file.
Die Schwachstelle wurde am 03.01.2016 veröffentlicht. Die Identifikation der Schwachstelle findet als CVE-2015-1985 statt. Der Angriff muss lokal passieren. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt.
Ein Upgrade auf die Version 8.0.0.4 vermag dieses Problem zu beheben.CVSS
Base Score: 4.1 (CVSS2#AV:L/AC:M/Au:S/C:P/I:P/A:P) [?]
Temp Score: 3.6 (CVSS2#E:ND/RL:OF/RC:ND) [?]
CPE
- cpe:/a:ibm:mq_m2000:8.0.0.0
- cpe:/a:ibm:mq_m2000:8.0.0.1
- cpe:/a:ibm:mq_m2000:8.0.0.2
- cpe:/a:ibm:mq_m2000:8.0.0.3
Exploiting
Klasse: Erweiterte Rechte
Lokal: Ja
Remote: Nein
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $5k-$10k (0-day) / $2k-$5k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: MQ M2000 8.0.0.4
Timeline
03.01.2016 | Advisory veröffentlicht
03.01.2016 | VulDB Eintrag erstellt
03.01.2016 | VulDB Eintrag aktualisiert
Quellen
CVE: CVE-2015-1985 (mitre.org) (nvd.nist.org) (cvedetails.com)
...