Sicherheitsbulletin Zusammenfassung: Schwachstellen in IBM Cognos Analytics
Überblick
IBM Cognos Analytics wurde aufgrund verschiedener Sicherheitslücken in verwendeten Open-Source-Softwarekomponenten aktualisiert. Diese Lücken betrafen unter anderem die Anfälligkeit für Einschleusungsangriffe, die unter der CVE-Nummer 2024-25047 registriert wurde. IBM hat auf diese Bedrohungen reagiert, indem sie die betroffenen Bibliotheken aktualisierte oder entfernte.
Details der Schwachstellen
1. *CVE-2023-44981 (Apache ZooKeeper)*: Diese Schwachstelle ermöglicht es einem Angreifer, Sicherheitsbeschränkungen zu umgehen, was unbefugten Zugriff auf das System erlauben könnte. CVSS-Basisscore: 8.1.
2. *CVE-2023-44487 (HTTP/2-Protokoll)*: Mehrere Anbieter waren anfällig für Denial-of-Service-Angriffe durch eine Schwachstelle im Umgang mit multiplexierten Streams. CVSS-Basisscore: 7.5.
3. *CVE-2023-5072 (JSON-java)*: Eine Schwachstelle, die zu einem Denial-of-Service führen könnte, wenn ein speziell gestalteter Anforderungsbefehl gesendet wird. CVSS-Basisscore: 7.5.
4. *CVE-2023-34462 (Netty)*: Eine Schwachstelle, die zu einem Speicherüberlauf und dadurch zu einem Dienstausfall führen könnte. CVSS-Basisscore: 6.5.
5. *CVE-2024-25047 (IBM Cognos Analytics)*: Diese Schwachstelle betrifft die Anfälligkeit für Einschleusungsangriffe in der Anwendungsprotokollierung. CVSS-Basisscore: 8.6.
Betroffene Produkte und Versionen
Die Schwachstellen betreffen verschiedene Versionen von IBM Cognos Analytics, von Version 11.1.x, die nicht mehr unterstützt wird, bis hin zu den neuesten Versionen 12.0.0 bis 12.0.2. IBM empfiehlt dringend, auf die neuesten Versionen zu aktualisieren, um die Schwachstellen zu beheben.
Maßnahmen und Lösungen
IBM stellt aktualisierte Versionen zur Verfügung, um die identifizierten Sicherheitsprobleme anzugehen. Für IBM Cognos Analytics 12.0.0 bis 12.0.2 ist das Update auf Version 12.0.3 verfügbar, während für die Versionen 11.2.0 bis 11.2.4 FP2 ein Update auf 11.2.4 FP3 bereitgestellt wird.
