개요
IBM 제품군에서 발생하는 취약점을 해결하는 업데이트를 발표하였습니다. 해당하는 버전 사용자는 최신 버전으로 업데이트하시기 바랍니다.
대상 제품
CVE-2024-25047
- IBM Cognos Analytics 버전 : 12.0(포함) ~ 12.0.2(포함)
- IBM Cognos Analytics 버전 : 11.2.0(포함) ~ 11.2.4 FP2(포함)
CVE-2023-26021, CVE-2023-29257, CVE-2023-30431
- IBM System Storage Virtualization Engine TS7700 버전 : 3957-VED R5.3 8.53.1.21
- IBM System Storage Virtualization Engine TS7700 버전 : 3957-VED R5.4 8.54.0.68
- IBM System Storage Virtualization Engine TS7700 버전 : 3948-VED R5.3 8.53.1.21
- IBM System Storage Virtualization Engine TS7700 버전 : 3948-VED R5.4 8.54.0.68
CVE-2023-47145
- IBM Cloud APM, Base Private 버전 : 8.1.4
- IBM Cloud APM, Advanced Private 버전 : 8.1.4
- IBM® Db2® 버전 : 10.5.0.x 11.1.4.x 11.5.x
CVE-2023-37407
- IBM Aspera Orchestrator 버전 : 4.0.1
해결된 취약점
IBM Cognos Analytics에서 사용자가 제공한 데이터를 삭제하지 않음으로써 발생하는 애플리케이션 로깅의 주입 공격 취약점 (CVE-2024-25047)
IBM Db2에서 LIMIT 절을 사용하여 특수하게 조작된 SQL 쿼리를 컴파일 할 때 발생하는 서비스 거부 취약점 (CVE-2023-26021)
IBM Db2에서 데이터베이스의 관리자가 동일한 인스턴스 내에서 다른 데이터베이스에 접근할 수 있어 발생하는 원격 코드 실행 취약점 (CVE-2023-29257)
IBM Db2에서 Db2Set의 부적절한 경계 검사로 인해 발생하는 버퍼 오버플로우 취약점 (CVE-2023-30431)
IBM Db2에서 로컬 사용자가 MSI 복구 기능을 사용하여 권한을 할당할 수 있는 권한 상승 취약점 (CVE-2023-47145)
IBM Aspera Orchestrator에서 인증된 원격 공격자가 특수하게 조작된 요청을 전송하여 발생할 수 있는 임의 코드 실행 취약점 (CVE-2023-37407)
취약점 패치
최신 업데이트를 통해 취약점 패치가 제공되었습니다. 참고 사이트의 안내에 따라 최신 취약점 패치 버전으로 업데이트 하시기 바랍니다.
CVE-2024-25047
- IBM Cognos Analytics 버전 : 12.0.3
- IBM Cognos Analytics 버전 : 11.2.4 FP3
CVE-2023-26021, CVE-2023-29257, CVE-2023-30431
- IBM System Storage Virtualization Engine TS7700 버전 : 3957-VED R5.3 8.54.1.27
- IBM System Storage Virtualization Engine TS7700 버전 : 3957-VED R5.4 8.54.1.27
- IBM System Storage Virtualization Engine TS7700 버전 : 3948-VED R5.3 8.54.1.27
- IBM System Storage Virtualization Engine TS7700 버전 : 3948-VED R5.4 8.54.1.27
CVE-2023-47145
- 참고 사이트[4]의 “remediation/Fixes” 섹션을 바탕으로 업데이트
CVE-2023-37407
- IBM Aspera Orchestrator 버전 : 4.0.1 PL1/PL2
참고 사이트
[1] CVE-2024-25047 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-25047
[2] Security Bulletin: IBM Cognos Analytics has addressed multiple vulnerabilities
https://www.ibm.com/support/pages/node/7149874
[3] Security Bulletin: IBM Virtualization Engine TS7700 is susceptible to multiple vulnerabilities due to the use of IBM Db2
https://www.ibm.com/support/pages/node/7145239
[4] Security Bulletin: There are multiple vulnerabilities in IBM DB2 bundled with IBM Application Performance Management products.
https://www.ibm.com/support/pages/node/7150158
[5] Security Bulletin: IBM Aspera Orchestrator affected by a command injection vulnerability (CVE-2023-37407)
https://www.ibm.com/support/pages/node/7150117
[6] Security Bulletin: IBM Aspera Orchestrator affected by a command injection vulnerability (CVE-2023-37407)