IBM Tivoli Storage Manager (IBM Spectrum Protect) 6.1, 6.2, 6.3, and 7.1 does not perform sufficient authority checking on SQL queries.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm tivoli storage manager6.1
• ibm tivoli storage manager6.1.0
• ibm tivoli storage manager6.1.1
• ibm tivoli storage manager6.1.2
• ibm tivoli storage manager6.1.3
• ibm tivoli storage manager6.1.4
• ibm tivoli storage manager6.1.5
• ibm tivoli storage manager6.1.5.4
• ibm tivoli storage manager6.1.5.5
• ibm tivoli storage manager6.1.5.6
• ibm tivoli storage manager6.2.0
• ibm tivoli storage manager6.2.1
• ibm tivoli storage manager6.2.2
• ibm tivoli storage manager6.2.3
• ibm tivoli storage manager6.2.4
• ibm tivoli storage manager6.3
• ibm tivoli storage manager6.3.0.15
• ibm tivoli storage manager6.3.0.17
• ibm tivoli storage manager6.3.0.5
• ibm tivoli storage manager6.3.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (ibm). Не зависят от анализа CPE в NVD и обычно опережают его.

• IBM Corporation Tivoli Storage Manager

  • 5.3.5.3, 5.4.1.2, 4.2, 4.2.1, 5.1.8, 5.2.5.1, 5.2.7, 5.2.8, 5.2.9, 5.3.0, 5.3.1, 5.3.2 … (+28)затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2008-4563Heap-based buffer overflow in adsmdll.dll 5.3.7.7296, as used by the daemon (dsmsvc.exe) in the backup server in IBM Tivoli Storage Manager
  49В плане
• CVE-2009-3853Stack-based buffer overflow in the client acceptor daemon (CAD) scheduler in the client in IBM Tivoli Storage Manager (TSM) 5.3 before 5.3.6
  48В плане
• CVE-2006-5855Multiple buffer overflows in IBM Tivoli Storage Manager (TSM) before 5.2.9 and 5.3.x before 5.3.4 allow remote attackers to cause a denial o
  48В плане
• CVE-2009-3854Buffer overflow in the traditional client scheduler in the client in IBM Tivoli Storage Manager (TSM) 5.3 before 5.3.6.7 and 5.4 before 5.4.
  42В плане
• CVE-2009-1178Unspecified vulnerability in the server in IBM Tivoli Storage Manager (TSM) 5.3.x before 5.3.2 and 6.x before 6.1 has unknown impact and att
  41В плане
• CVE-2016-8937The IBM Tivoli Storage Manager (IBM Spectrum Protect 7.1 and 8.1) default authentication protocol is vulnerable to a brute force attack due
  40В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.