보안 권고문

IBM 제품군(IBM Cognos Analytics, IBM Aspera Console 등) 보안 업데이트 권고

등록일: 2024년 2월 26일

개요

IBM 제품군에서 발생하는 취약점을 해결하는 업데이트가 제공되었습니다. 해당하는 버전 사용자는 최신 버전으로 업데이트하시기 바랍니다.

대상 제품

CVE-2023-39410, CVE-2018-8032, CVE-2014-3596, CVE-2012-5784, CVE-2019-0227, CVE-2022-34169, CVE-2021-43138, CVE-2023-36478, CVE-2023-44487, CVE-2021-35560, CVE-2021-35586, CVE-2021-35578, CVE-2021-35564, CVE-2021-35559, CVE-2021-35556, CVE-2021-35565, CVE-2021-35588, CVE-2021-41035, CVE-2021-35550, CVE-2021-35603, CVE-2022-21496, CVE-2022-21434, CVE-2022-21443, CVE-2022-21299, CVE-2021-28167, CVE-2023-21930, CVE-2023-21967, CVE-2023-21954, CVE-2023-21939, CVE-2023-21968, CVE-2023-21937, CVE-2023-21938, CVE-2023-2597, CVE-2023-22049, CVE-2021-31684, CVE-2023-1370, CVE-2023-30588, CVE-2023-30589, CVE-2023-45857, CVE-2020-28458, CVE-2021-23445, CVE-2021-44906, CVE-2023-26115, CVE-2023-0215, CVE-2023-0464, CVE-2023-3817, CVE-2019-1547, CVE-2020-1971, CVE-2021-23839, CVE-2021-23840, CVE-2021-23841, CVE-2021-3449, CVE-2021-3711, CVE-2021-3712, CVE-2021-4160, CVE-2022-0778, CVE-2022-2097, CVE-2022-40897, CVE-2021-3572, CVE-2023-26136, CVE-2022-41854, CVE-2022-1471, CVE-2022-34357, CVE-2023-30996, CVE-2023-32344, CVE-2023-38359, CVE-2023-43051

IBM Cognos Analytics 11.1.7 버전
IBM Cognos Analytics 11.2.4 버전
IBM Cognos Analytics 12.0.0 버전

CVE-2022-37436, CVE-2021-34798

IBM Aspera Console 3.4.0 – 3.4.2 PL4 버전

CVE-2024-25021, CVE-2023-47038, CVE-2023-47100

AIX 7.3 버전의 perl.rte 5.34.0.0부터 5.34.1.5까지의 버전
VIOS 4.1 버전의 perl.rte 5.34.0.0부터 5.34.1.5까지의 버전

CVE-2022-21426, CVE-2022-34169, CVE-2022-40609, CVE-2022-4203, CVE-2022-4450, CVE-2022-0778, CVE-2022-1471, CVE-2022-40897, CVE-2023-0215, CVE-2023-0216, CVE-2023-0217, CVE-2023-0401, CVE-2023-0464, CVE-2023-0465, CVE-2023-0466, CVE-2023-21830, CVE-2023-21843, CVE-2023-21930, CVE-2023-21937, CVE-2023-21938, CVE-2023-21939, CVE-2023-21967, CVE-2023-21968, CVE-2023-21967, CVE-2023-21968, CVE-2023-21967, CVE-2023-21968, CVE-2023-21967, CVE-2023-21968, CVE-2023-21967, CVE-2023-21968, CVE-2023-21967, CVE-2023-21968, CVE-2023-21967, CVE-2023-21968, CVE-2023-21967, CVE-2023-21968, CVE-2023-2597, CVE-2023-2650, CVE-2023-3817, CVE-2023-3446, CVE-2023-36478, CVE-2023-43051, CVE-2023-45857, CVE-2023-46152

IBM Cognos Transformer 11.1.7 버전

CVE-2023-22081, CVE-2023-5676

IBM Sterling Connect:Direct for UNIX 6.0.0.0 – 6.0.0.2.iFix161 버전
IBM Sterling Connect:Direct for UNIX 6.1.0.0 – 6.1.0.4.iFix102 버전
IBM Sterling Connect:Direct for UNIX 6.2.0.0 – 6.2.0.7.iFix004 버전
IBM Sterling Connect:Direct for UNIX 6.3.0.0 – 6.3.0.2.iFix004 버전

CVE-2023-34054, CVE-2023-34062, CVE-2024-22319, CVE-2023-34055, CVE-2024-22320

IBM Operational Decision Manager 8.10.3 버전
IBM Operational Decision Manager 8.10.4 버전
IBM Operational Decision Manager 8.10.5.1 버전
IBM Operational Decision Manager 8.11.0.1 버전
IBM Operational Decision Manager 8.11.1 버전
IBM Operational Decision Manager 8.12.0.1 버전

CVE-2023-51385

IBM i 7.2 버전
IBM i 7.3 버전
IBM i 7.4 버전
IBM i 7.5 버전

해결된 취약점

netplex JSON Smart의 indexOf 함수에서 발생한 거부 서비스 취약점 (CVE-2021-31684)
netplex json-smart-v2의 배열 또는 객체의 중첩을 제한하지 않는 취약점 (CVE-2023-1370)
X.509 인증서 체인 검증과 관련된 OpenSSL의 정책 제약 조건을 포함하는 인증서 체인의 지수적인 자원 사용을 유발하여 발생하는 서비스 거부 취약점 (CVE-2023-0464)
Java SE의 JSSE 구성 요소와 관련된 알려지지 않은 공격 벡터를 사용하여 인증되지 않은 공격자가 민감 정보 획득이 가능한 취약점 (CVE-2021-35550, CVE-2021-35578, CVE-2021-35565)
Java SE의 배포 구성 요소와 관련된 인증되지 않은 공격자가 시스템 제어 가능한 취약점 (CVE-2021-35560)
Java SE의 ImageIO 구성 요소와 관련된 서비스 거부 취약점 (CVE-2021-35586)
Java SE의 Keytool 구성 요소와 관련된 지정되지 않은 취약점 (CVE-2021-35564)
Java SE의 Swing 구성 요소와 관련된 서비스 거부 취약점 (CVE-2021-35559, CVE-2021-35556)
Java SE의 VM 구성 요소와 관련된 서비스 거부 취약점 (CVE-2021-35588)
Eclipse Openj9의 보안 관리자 하에서 특수 제작된 프로그램을 실행함으로써 발생하는 권한 상승 및 임의 코드 실행 취약점 (CVE-2021-41035)
Node.js Minimist 모듈의 index.js 스크립트의 setKey() 함수에서 프로토타입 오염으로 인한 임의의 코드 실행 취약점 (CVE-2021-44906)
Eclipse Openj9의 jdk.internal.reflect.ConstantPool API의 결함으로 인해 정적 메서드를 호출하거나 클래스 초기화 메서드를 실행하지 않고도 정적 멤버에 액세스 가능한 취약점 (CVE-2021-28167)
IBM Cognos Analytics의 크로스 사이트 스크립팅 취약점 (CVE-2023-38359)
IBM Cognos Analytics의 양식 작업 중단 취약점 (CVE-2023-32344)
Java SE의 JAXP 구성 요소와 관련된 서비스 거부 취약점 (CVE-2022-21299)
IBM Cognos Analytics의 다른 출처의 Windows 객체 간에 전송된 메시지에서 확인되지 않은 소스로 인한 정보 누출 취약점 (CVE-2023-30996)
Java SE의 JNDI 구성 요소와 관련된 지정되지 않은 취약점 (CVE-2022-21496)
Java SE의 라이브러리 구성 요소와 관련된 정의되지 않은 취약점 (CVE-2022-21434)
Java SE의 라이브러리 구성 요소와 관련된 서비스 거부 취약점 (CVE-2022-21443)
OpenSSL의 DH_check(), DH_check_ex(), 또는 EVP_PKEY_param_check() 함수를 사용하여 DH 키 또는 DH 매개변수를 확인할 때 발생하는 결함으로 인한 서비스 거부 취약점 (CVE-2023-3817)
Apache Avro Java SDK의 안전하지 않은 역직렬화 결함으로 인해 원격 인증된 공격자가 시스템에서 임의 코드 실행 취약점 (CVE-2023-39410)
Node.js datatables.net 모듈의 프로토타입 오염 결함으로 인한 시스템에서 임의 코드 실행 취약점 (CVE-2020-28458)
datatables.net의 크로스 사이트 스크립팅 취약점 (CVE-2021-23445)
Salesforce tough-cookie의 rejectPublicSuffixes=false 모드에서 CookieJar를 사용할 때 Cookie를 잘못 처리하여 프로토타입 오염 결함으로 인한 시스템에서 임의 코드 실행 취약점 (CVE-2023-26136)
Python의 pip 패키지의 git 참조에서 Unicode 구분자를 잘못 처리함으로써 발생하는 보안 제한 우회 취약점 (CVE-2021-3572)
Oracle Java SE와 GraalVM Enterprise Edition의 JSSE 구성 요소와 관련된 정의되지 않은 취약점 (CVE-2023-21930, CVE-2023-21967)
Oracle Java SE와 GraalVM Enterprise Edition의 Hotspot 구성 요소와 관련된 정의되지 않은 취약점 (CVE-2023-21954)
Oracle Java SE와 GraalVM Enterprise Edition의 Swing 구성 요소와 관련된 정의되지 않은 취약점 (CVE-2023-21939)
Oracle Java SE 및 GraalVM Enterprise Edition의 라이브러리 구성 요소와 관련된 정의되지 않은 취약점 (CVE-2023-21968)
Oracle Java SE 및 Oracle GraalVM Enterprise Edition의 Networking 컴포넌트와 관련된 정의되지 않은 취약점 (CVE-2023-21937)
Oracle Java SE 및 Oracle GraalVM Enterprise Edition의 Libraries 컴포넌트와 관련된 정의되지 않은 취약점 (CVE-2023-21938)
Eclipse Openj9의 getCachedUTFString() 함수에서의 부적절한 경계 확인으로 인한 버퍼 오버플로우 취약점 (CVE-2023-2597)
Apache Axis는 default servlet/services에서 사용자 제공 입력의 잘못된 유효성 검사로 인한 XSS 취약점 (CVE-2018-8032)
Apache Axis 및 Axis2 X.509 인증서의 subject의 Common Name (CN) 필드에서 서버 호스트 이름이 일치하는지 확인하지 않는 불완전한 수정으로 인한 스푸핑 공격 허용 취약점 (CVE-2014-3596) Apache Axis 1.4 X.509 인증서의 subject의 Common Name (CN) 필드에서 서버 호스트 이름이 일치하는지 확인하지 않는 불완전한 수정으로 인한 스푸핑 공격 허용 취약점 (CVE-2012-5784)
Apache Axis의 StockQuoteService.jws라는 기본 예제 서비스에서 만료된 하드 코딩된 도메인으로 인한 서버 측 요청 위조 취약점 (CVE-2019-0227)
IBM Cognos Analytics Mobile Server의 요청 속도 제한의 부재로 인한 서비스 거부 취약점 (CVE-2022-34357)
Node.js의 x509 인증서의 유효하지 않은 공개 키 정보로 인한 서비스 거부 취약점 (CVE-2023-30588)
Node.js의 HTTP 요청 스미싱 취약점 (CVE-2023-30589)
OpenSSL의 명명된 곡선 대신 명시적 매개변수를 사용하여 EC 그룹을 구성할 수 있는 취약점 (CVE-2019-1547)
OpenSSL의 NULL 포인터 역참조로 인한 서비스 거부 취약점 (CVE-2020-1971)
OpenSSL의 SSLv2 롤백 보호가 잘못된 경우 더 약한 보안을 제공할 수 있는 취약점 (CVE-2021-23839)
OpenSSL의 CipherUpdate에서 정수 오버플로우로 인한 서비스 거부 취약점 (CVE-2021-23840)
OpenSSL의 X509_issuer_and_serial_hash() 함수의 NULL 포인터 역참조로 인한 서비스 거부 취약점 (CVE-2021-23841)
OpenSSL의 signature_algorithms 처리에서의 NULL 포인터 역참조로 인한 서비스 거부 취약점 (CVE-2021-3449)
OpenSSL의 SM2 복호화의 구현 내부의 EVP_PKEY_decrypt() 함수에서의 부적절한 경계 확인으로 인한 버퍼 오버플로우 취약점 (CVE-2021-3711)
OpenSSL의 ASN.1 문자열을 처리할 때 범위를 벗어나는 읽기로 인한 서비스 거부 취약점 (CVE-2021-3712)
OpenSSL의 MIPS32 및 MIPS64 제곱 절차에서의 캐리 전파 결함으로 인한 취약점 (CVE-2021-4160)
OpenSSL은 BN_mod_sqrt() 함수의 결함으로 인한 서비스 거부 취약점 (CVE-2022-0778)
OpenSSL의 AES OCB 모드를 사용한 32비트 x86 플랫폼의 데이터를 부적절하게 암호화하여 민감한 정보를 탈취할 수 있는 취약점 (CVE-2022-2097)
Java SE의 JSSE 구성 요소와 관련된 민감 정보에 액세스 가능한 취약점 (CVE-2021-35603)
Node.js의 word-wrap 모듈 result 변수에서의 정규식 거부 서비스 취약점 (CVE-2023-26115)
Async는 mapValues() 메서드에서의 프로토타입 오염으로 인한 임의 코드 실행 취약점 (CVE-2021-43138)
SnakeYaml은 Constructor 클래스의 안전하지 않은 직렬화로 인한 임의 코드 실행 취약점 (CVE-2022-1471)
Eclipse Jetty의 MetaDataBuilder.checkSize에서의 정수 오버플로우와 버퍼 할당으로 인한 서비스 거부 취약점 (CVE-2023-36478)
HTTP/2 프로토콜에서 다중화된 스트림을 처리하는 데에 결함으로 인한 서비스 거부 취약점 (CVE-2023-44487)
Pypa Setuptools의 잘못된 입력 유효성 검사로 인한 서비스 거부 취약점 (CVE-2022-40897)
Apache Xalan Java XSLT 라이브러리의 악의적인 XSLT 스타일시트를 처리할 때 정수 절단 문제로 인한 임의 코드 실행 취약점 (CVE-2022-34169)
snakeYAML의 잘못된 입력 유효성 검사로 인한 서비스 거부 취약점 (CVE-2022-41854)
OpenSSL의 BIO_new_NDEF 함수에서의 스트리밍 ASN.1 데이터 처리 관련 사용 후 해제 오류로 인한 서비스 거부 취약점 (CVE-2023-0215)
IBM Cognos Analytics의 XSS 취약점 (CVE-2023-43051)
Java SE의 Libraries 컴포넌트와 관련된 무결성에 영향을 미치는 취약점 (CVE-2023-22049)
Axios의 사용자 제공 입력의 잘못된 유효성 검사로 인한 CSRF 취약점 (CVE-2023-45857)
Apache HTTP Server mod_proxy의 악성 백엔드 사용으로 인해 발생하는 HTTP 응답 분할 공격 취약점 (CVE-2022-37436)
Apache HTTP Server httpd 코어의 NULL 포인터 역참조로 인한 서비스 거부 취약점 (CVE-2021-34798)
IBM AIX의 Perl 로 인해 권한이 없는 로컬 사용자가 임의 명령 실행 취약점 (CVE-2024-25021)
사용자 정의 유니코드 속성에 의한 부적절한 경계 검사로 인해 발생하는 힙 기반 버퍼 오버플로우 취약점 (CVE-2023-47038)
원격 공격자가 regcomp.c의 S_parse_uniprop_string 함수에서 속성 이름을 부적절하게 처리하여 발생하는 보안 제한 우회 취약점 (CVE-2023-47100)
OpenSSL의 X509_VERIFI_PARAM_add0_policy 함수의 결함으로 인해 발생하는 보안 제한 우회 취약점 (CVE-2023-0466)
OpenSSL의 기본값이 아닌 옵션을 사용하여 인증서를 확인할 때 발생하는 결함으로 인한 보안 제한 우회 취약점 (CVE-2023-0465)
JAXP 구성 요소와 관련된 Java SE에서 발생하는 서비스 거부 취약점 (CVE-2022-21426)
OpenSSL의 OBJ_obj2txt()를 직접 사용하거나 메시지 크기 제한 없이 OpenSSL 하위 시스템인 OCSP, PKCS7/SMIE, CMS, CMP/CRMF 또는 TS를 사용할 때 발생하는 결함으로 인해 발생하는 서비스 거부 취약점 (CVE-2023-2650)
직렬화 구성 요소와 관련된 Java SE의 지정되지 않은 취약점 (CVE-2023-21830)
OpenSSL은 DH_check(), DH_check_ex() 또는 EVP_PKEY_param_check() 함수를 사용하여 DH 키 또는 DH 매개 변수를 검사할 때 발생하는 결함으로 인한 서비스 거부 취약점 (CVE-2023-3446)
Sound 구성 요소와 관련된 Java SE의 지정되지 않은 취약점 (CVE-2023-21843)
IBM SDK, Java Technology Edition 7.1.5.18 및 8.0.8.0은 안전하지 않은 병렬화 결함으로 인한 임의 코드 실행 취약점 (CVE-2022-40609)
OpenSSL 잘못된 형식의 PKCS7 데이터 처리와 관련된 잘못된 포인터 참조로 인해 발생하는 서비스 거부 취약점 (CVE-2023-0216)
OpenSSL은 PKCS7 데이터 확인 중 NULL 포인터 참조 해제로 인해 발생하는 서비스 거부 취약점 (CVE-2023-0401)
OpenSSL의 X.509 인증서 검증의 부적절한 처리로 인해 트리거된 읽기 버퍼 오버런으로 인해 발생하는 서비스 거부 취약점 (CVE-2022-4203)
OpenSSL의 특정 DSA 공개 키의 유효성 검사와 관련된 NULL 포인터 참조 해제로 인해 발생하는 서비스 거부 취약점 (CVE-2023-0217)
JSSE 구성 요소와 관련된 Java SE의 지정되지 않은 취약점 (CVE-2023-22081)
Eclipse OpenJ9에서 발생하는 서비스 거부 취약점 (CVE-2023-5676)
VMware Tanzu Reactor Netty에서 발생하는 서비스 거부 취약점 (CVE-2023-34054)
VMware Tanzu Reactor Netty에서 사용자 요청의 부적절한 유효성 검사로 인한 시스템 디렉토리를 순회 취약점 (CVE-2023-34062)
IBM Operational Decision Manager에서 발생하는 특정 API에 확인되지 않은 인수를 전달할 때 JNDI 주입을 통한 원격 코드 실행 취약점 (CVE-2024-22319)
VMware Tanzu Spring Boot에서 발생하는 응용 프로그램이 Spring MVC 또는 Spring WebFlux 또는 org.springframework.boot:spring-boot-actuator를 클래스 경로에 사용할 때 발생하는 결함으로 인한 서비스 거부 취약점 (CVE-2023-34055)
IBM Operational Decision Manager에서 안전하지 않은 병렬화로 인해 원격 인증 공격자가 시스템에서 임의 코드 실행 취약점 (CVE-2024-22320)
OpenSSH의 원격 공격자가 셸 메타문자의 잘못된 유효성 검사로 인한 임의 명령 실행 취약점 (CVE-2023-51385)

취약점 패치

2024년 2월 23일 업데이트를 통해 취약점 패치가 제공되었습니다. 참고 사이트의 내용에 따라 최신 취약점 패치 버전으로 업데이트 하시기 바랍니다.

IBM Cognos Analytics 11.1.7 Fix Pack 8 버전
IBM Cognos Analytics 11.2.4 FP3 버전
IBM Cognos Analytics 12.0.2 버전

CVE-2022-37436, CVE-2021-34798

IBM Aspera Console 3.4.2 PL7 버전

CVE-2024-25021, CVE-2023-47038, CVE-2023-47100

참고사이트 [3]의 ‘Remediation/Fixes’ 섹션 참고

IBM Cognos Analytics 11.1.7 Fix Pack 8 버전

CVE-2023-22081, CVE-2023-5676

IBM Sterling Connect:Direct for UNIX 6.0.0.2.iFix162 버전
IBM Sterling Connect:Direct for UNIX 6.1.0.4.iFix103 버전
IBM Sterling Connect:Direct for UNIX 6.2.0.7.iFix005 버전
IBM Sterling Connect:Direct for UNIX 6.3.0.2.iFix005 버전

CVE-2023-34054, CVE-2023-34062, CVE-2024-22319, CVE-2023-34055, CVE-2024-22320

참고사이트 [6]의 ‘Remediation/Fixes’ 섹션 참고

CVE-2023-51385

참고사이트 [7]의 ‘Remediation/Fixes’ 섹션 참고

참고 사이트

[1] Security Bulletin: IBM Cognos Analytics has addressed multiple vulnerabilities
https://www.ibm.com/support/pages/node/7123154
[2] Security Bulletin: IBM Aspera Console 3.4.2 PL7 has addressed multiple vulnerabilities (CVE-2022-37436, CVE-2021-34798)
https://www.ibm.com/support/pages/node/7122989
[3] Security Bulletin: AIX is vulnerable to arbitrary command execution due to Perl (CVE-2024-25021, CVE-2023-47038, CVE-2023-47100)
https://www.ibm.com/support/pages/node/7122628
[4] Security Bulletin: IBM Cognos Transformer is affected by security vulnerabilities
https://www.ibm.com/support/pages/node/7112541
[5] Security Bulletin: IBM Sterling Connect:Direct for UNIX is vulnerable to an unspecified vulnerability and denial of service due to IBM Runtime Environment Java Technology Edition
https://www.ibm.com/support/pages/node/7123275
[6] Security Bulletin: IBM Operational Decision Manager for January 2024 – Multiple CVEs addressed
https://www.ibm.com/support/pages/node/7112382
[7] Security Bulletin: OpenSSH for IBM i is vulnerable to an attacker executing arbitrary commands due to improper validation. [CVE-2023-51385]
https://www.ibm.com/support/pages/node/7123159

CVE-2012-5784, CVE-2014-3596, CVE-2018-8032, CVE-2019-0227, CVE-2019-1547, CVE-2020-1971, CVE-2020-28458, CVE-2021-23445, CVE-2021-23839, CVE-2021-23840, CVE-2021-23841, CVE-2021-28167, CVE-2021-31684, CVE-2021-3449, CVE-2021-34798, CVE-2021-35550, CVE-2021-35556, CVE-2021-35559, CVE-2021-35560, CVE-2021-35564, CVE-2021-35565, CVE-2021-35578, CVE-2021-35586, CVE-2021-35588, CVE-2021-35603, CVE-2021-3572, CVE-2021-3711, CVE-2021-3712, CVE-2021-41035, CVE-2021-4160, CVE-2021-43138, CVE-2021-44906, CVE-2022-0778, CVE-2022-1471, CVE-2022-2097, CVE-2022-21299, CVE-2022-21426, CVE-2022-21434, CVE-2022-21443, CVE-2022-21496, CVE-2022-34169, CVE-2022-34357, CVE-2022-37436, CVE-2022-40609, CVE-2022-40897, CVE-2022-41854, CVE-2022-4203, CVE-2023-0215, CVE-2023-0216, CVE-2023-0217, CVE-2023-0401, CVE-2023-0464, CVE-2023-0465, CVE-2023-0466, CVE-2023-21830, CVE-2023-21843, CVE-2023-21930, CVE-2023-21937, CVE-2023-21938, CVE-2023-21939, CVE-2023-21954, CVE-2023-21967, CVE-2023-21968, CVE-2023-22049, CVE-2023-22081, CVE-2023-2597, CVE-2023-26115, CVE-2023-26136, CVE-2023-2650, CVE-2023-30588, CVE-2023-30589, CVE-2023-30996, CVE-2023-32344, CVE-2023-34054, CVE-2023-34055, CVE-2023-34062, CVE-2023-3446, CVE-2023-36478, CVE-2023-3817, CVE-2023-38359, CVE-2023-39410, CVE-2023-43051, CVE-2023-44487, CVE-2023-45857, CVE-2023-47038, CVE-2023-47100, CVE-2023-51385, CVE-2023-5676, CVE-2024-22319, CVE-2024-22320, CVE-2024-25021

개인정보처리방침

이용약관

ASEC