📚 IBM Jazz Reporting Service bis 6.0/6.0.1 iFix005/6.0.2 iFix002 Lifecycle Query Engine Cross Site Scripting

🕛 Zeit seit Veröffentlichung: 2702 Tage, 18 Stunden 41 Minuten
📆 Veröffentlicht am: 25.11.2016 um 01:00 Uhr
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com

In IBM Jazz Reporting Service bis 6.0/6.0.1 iFix005/6.0.2 iFix002 wurde eine problematische Schwachstelle gefunden. Es geht um eine unbekannte Funktion der Komponente Lifecycle Query Engine. Dank Manipulation mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Mit Auswirkungen muss man rechnen für die Integrität.

Die Schwachstelle wurde am 25.11.2016 an die Öffentlichkeit getragen. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2016-0316 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet.

Die Schwachstelle lässt sich durch das Einspielen des Patches 6.0.1 iFix006/6.0.2 iFix 003 beheben.

Schwachstellen ähnlicher Art sind dokumentiert unter 93821, 93822 und 93823.

CVSSv3

Base Score: 3.5 [?]
Temp Score: 3.4 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N/E:X/RL:O/RC:X [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 3.5 (CVSS2#AV:N/AC:M/Au:S/C:N/I:P/A:N) [?]
Temp Score: 3.0 (CVSS2#E:ND/RL:OF/RC:ND) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:ibm:jazz_reporting_service:6.0
• cpe:/a:ibm:jazz_reporting_service:6.0.1_ifix005
• cpe:/a:ibm:jazz_reporting_service:6.0.2_ifix002

Exploiting

Klasse: Cross Site Scripting
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Patch
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Patch: 6.0.1 iFix006/6.0.2 iFix 003

Timeline

25.11.2016 Advisory veröffentlicht
27.11.2016 VulDB Eintrag erstellt
27.11.2016 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-0316 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 93821, 93822, 93823

Eintrag

Erstellt: 27.11.2016
Eintrag: 71.7% komplett
...