IBM Cognos Analytics weist zwei kritische Sicherheitslücken auf, die unmittelbares Handeln erforderlich machen. Die Schwachstellen CVE-2024-40695 und CVE-2024-51466 können schwerwiegende Auswirkungen auf die Sicherheit Ihres Systems haben. In diesem Beitrag erklären wir die Hintergründe dieser Schwachstellen und empfehlen dringend, die entsprechenden FixPacks zu installieren.
//www.ibm.com/support/pages/node/7179496
Zusammenfassung der Sicherheitslücken
CVE-2024-40695: Malicious File Upload
Diese Schwachstelle ermöglicht es einem privilegierten Benutzer, bösartige Dateien über die Weboberfläche hochzuladen. Solche Dateien können automatisch verarbeitet werden und potenziell weiteren Schaden anrichten. Dabei handelt es sich um eine sogenannte CWE-434-Schwachstelle („Unrestricted Upload of File with Dangerous Type“), die mit einem CVSS-Basiswert von 8 bewertet wurde. Diese Bewertung zeigt, dass das Risiko hoch ist.
CVE-2024-51466: Expression Language (EL) Injection
Hierbei handelt es sich um eine Expression Language (EL) Injection-Schwachstelle. Ein Angreifer kann speziell gestaltete EL-Anweisungen verwenden, um sensible Informationen preiszugeben, die Speicherressourcen zu erschöpfen oder den Server zum Absturz zu bringen. Diese Schwachstelle hat eine CVSS-Bewertung von 9 und gehört zur Kategorie CWE-917 („Improper Neutralization of Special Elements used in an Expression Language Statement“). Die hohe Bewertung unterstreicht die Schwere dieser Schwachstelle.
Betroffene Produkte und Versionen
Die folgenden Versionen von IBM Cognos Analytics sind betroffen:
- Versionen 12.0.0 bis 12.0.4
- Versionen 11.2.0 bis 11.2.4 FP4
Empfohlene Maßnahmen


IBM empfiehlt dringend, die betroffenen Systeme umgehend zu aktualisieren. Für die genannten Schwachstellen stehen FixPacks bereit:
- IBM Cognos Analytics 12.0.0-12.0.4: Installieren Sie das Interim Fix 1 für Version 12.0.4.
- IBM Cognos Analytics 11.2.0-11.2.4 FP4: Aktualisieren Sie auf Fix Pack 5 für Version 11.2.4.
Warum die Aktualisierung wichtig ist
Unbehandelte Schwachstellen dieser Art können gravierende Folgen haben:
- Datenverlust: Angreifer können auf vertrauliche Informationen zugreifen.
- Systemausfälle: Die Ausnutzung der EL Injection-Schwachstelle kann zu einem kompletten Absturz des Systems führen.
- Schädlicher Code: Hochgeladene Dateien können verwendet werden, um weitere Angriffe durchzuführen.
Fazit
Die Sicherheitslücken CVE-2024-40695 und CVE-2024-51466 in IBM Cognos Analytics stellen eine erhebliche Bedrohung dar. Um Ihre Systeme zu schützen und potenziellen Schaden zu vermeiden, sollten Sie unverzüglich die bereitgestellten FixPacks einspielen. Weitere Informationen finden Sie in den offiziellen Security Bulletins von IBM.