Sicherheitslücken bei IBM Business Automation Workflow und WebSphere
Table of Contents
Bei den Produkten rund um den IBM Business Automation Workflow wurden mehrere Sicherheitslücken festgestellt, die Betreiber der Software sollten unverzüglich Ihre Software patchen. Wir haben die wichtigsten Erkenntnisse aus dem IBM Security Bulletin zusammengefasst.
Denial of Service-Schwachstelle in IBM Business Automation Workflow Event Emitters - CVE-2023-51074
Eine Denial-of-Service-Schwachstelle wurde in den Event Emitters des IBM Business Automation Workflow identifiziert. Diese Schwachstelle entsteht durch eine unsichere globale Ersetzungslogik von regulären Ausdrücken bei der Entfernung von HTML-Kommentaren im sanitize-html-Modul von Node.js. Ein entfernter Angreifer könnte diese Schwachstelle ausnutzen, um einen Regular Expression Denial of Service (ReDoS) zu verursachen, indem er eine speziell gestaltete Anfrage sendet.
Apache Derby-Schwachstelle in IBM Business Automation Workflow auf Containern behoben - CVE-2022-46337
Die CVE-2022-46337 ist eine Schwachstelle in Apache Derby, einem Java-Datenbankmanagementsystem, die im Jahr 2022 entdeckt wurde. Es handelt sich um eine LDAP-Injection-Schwachstelle, die Versionen von Apache Derby bis einschließlich 10.16.1.1 betrifft. Die Auswirkungen dieser Schwachstelle können gravierend sein, da Angreifer die Möglichkeit haben, große Mengen an unnötigen Daten zu erstellen, was zum Füllen des Speicherplatzes führen kann, oder in bestimmten Fällen Zugriff auf sensible Daten und Funktionen innerhalb der Datenbank erhalten, um diese anzusehen, zu ändern oder auszuführen. Um diese Schwachstelle zu beheben, wird dringend empfohlen, auf die neueste Version von Apache Derby (10.17.0.0 oder höher) zu aktualisieren.
Sicherheitslücken in Apache Axis, Apache Shiro und SnakeYAML betreffen IBM WebSphere Service Registry and Repository
Schwachstellen in Apache Axis, Apache Shiro und SnakeYAML stellen ein Sicherheitsrisiko für IBM WebSphere Service Registry and Repository dar. Spezifisch geht es um CVE-2023-40743 in Apache Axis, das die Ausführung von beliebigem Code ermöglicht, CVE-2023-34478 in Apache Shiro, das eine Umgehung der Authentifizierung erlaubt, und CVE-2022-1471 in SnakeYAML, das mehrere Schwachstellen einschließlich einer zur Ausführung von beliebigem Code beinhaltet. Diese Schwachstellen ermöglichen es Angreifern, erhebliche Kontrolle über betroffene Systeme zu erlangen, indem sie beispielsweise Code ausführen oder sich ohne Authentifizierung Zugriff verschaffen. Um diese Bedrohungen zu mindern, wird empfohlen, Apache Axis auf Version 1.4.4 oder höher, Apache Shiro auf Version 1.9.4 oder höher und SnakeYAML auf Version 1.28 oder höher zu aktualisieren.