Nueva vulnerabilidad XXE en IBM

12/02/2019
IBM publica un boletín de seguridad dando a conocer una vulnerabilidad de XXE (XML External Entity Injection) en su producto InfoSphere Information Server Manager, que podría permitir a un atacante remoto obtener información confidencial o consumir recursos de memoria.

Riesgo: Alto Alto
Sistemas afectados:
  • IBM InfoSphere Information Server: versiones 9.1, 11.3, 11.5 y 11.7
  • IBM InfoSphere Information Server on Cloud: versiones 11.5 y 11.7
Descripción:

El problema reside en una función de ayuda para importar listas de sitios web (SCM) o nombres de usuarios utilizada por el producto IBM Information Server Manager en formato XML.

Un atacante remoto podría explotar esta vulnerabilidad realizando un ataque de inyección XXE con peticiones XML especialmente diseñadas para obtener información confidencial o consumir recursos de memoria.

Referencias (CVE):
Solución:
  • Se recomienda evitar utilizar la opción de importar XML. En su lugar, emplear el botón ADD para agregar información.
  • En caso de importar un XML, se recomienda comprobar manualmente el archivo XML antes de importarlo.
Notas:

Más información aquí.

Fuente: Incibe-cert