IBM SECURITY ACCESS MANAGER. Múltiples vulnerabilidades

Actualización de seguridad para IBM Security Access Manager for Mobile y IBM Security Access Manager for Web, ya que podrían ser afectados por una vulnerabilidad de inyección de comandos y permitir un ataque de cross site scripting, catalogada de Importancia: 5 - Crítica

Recursos afectados

• IBM Security Access Manager for Mobile 8. - Firmware versions 8.0.0.0, 8.0.0.1, 8.0.0.3, y 8.0.0.4.
• IBM Security Access Manager for Web 7.0 y 8.0 - Firmware versions 7.0, 7.0.0.1, 7.0.0.2, 7.0.0.3, 7.0.0.4, 7.0.0.5, 7.0.0.6, 7.0.0.7, 7.0.0.8, 8.0.0.2, 8.0.0.3, y 8.0.0.4.

Detalle e  Impacto de la vulnerabilidad

 Las vulnerabilidades corregidas son:

1. Inyección de comandos (CVE-2014-4823) - un atacante no autenticado y de forma remota podría inyectar cadenas de caracteres para ser interpretadas como comandos del sistema.
2. Cross site scripting (CVE-2014-6079) - vulnerabilidad que permitiría engañar a un usuario de Local Management Interface para ejecutar comandos en el sistema que podrían comprometer parcialmente la integridad del sistema.

Recomendación

• Actualice los sistemas afectados con el parche correspondiente que puede encontrar en la web IBM Fix Central.

Más información

• Security Bulletin: Shell command injection and cross-site scripting vulnerabilities in Access Manager for Mobile and Access Manager for Web (CVE-2014-4823, CVE-2014-6079) http://www-01.ibm.com/support/docview.wss?uid=swg21684466

Fuente: INTECO