CERT-FI haavoittuvuustiedote 006/2005

18.1.2005

Lukuisia haavoittuvuuksia IBM DB2 -tietokantaohjelmistossa

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti - ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

IBM DB2 Universal on suosittu, erityisesti laajoissa tietokantaympäristöissä käytetty relaatiotietokanta. IBM on julkaissut korjauksia lukuisiin tietokantaohjelmistosta löydettyihin haavoittuvuuksiin.

Julkaistuihin haavoittuvuuksiin sisältyy useita sekä paikallisesti että etähyväksikäytettäviä haavoittuvuuksia. Vakavimmat haavoittuvuudet mahdollistavat hyökkääjän omien komentojen suorittamisen kohdejärjestelmässä. Osa haavoittuvuuksien hyväksikäytöstä ei vaadi hyökkääjältä mitään oikeuksia tietokantaan.

HAAVOITTUVAT OHJELMISTOT:

• DB2 versio 8.1: Fixpak 7 ja tätä aikaisemmat Fixpak-versiot
• DB2 versio 7.x

Lisätietoa haavoittuvista tietokantaohjelmistoista on saatavilla mm. osoitteesta: http://www.ngssoftware.com/advisory.htm

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Haavoittuvuudet on korjattu seuraavissa DB2 version 8.1 päivitetyissä Fixpak 6 ja Fixpak 7 -korjauksissa:

• Fixpak 6a

• Fixpak 7a

Päivitetyt korjaustiedostot on ladattavissa osoitteesta:

http://www-306.ibm.com/software/data/db2/udb/support/downloadv8.html

DB2 version 7.x haavoittuvuuksien korjaustiedostot on saatavilla uusimmassa Fixpak-versiossa, joka on ladattavissa osoitteesta:

http://www-306.ibm.com/software/data/db2/udb/support/downloadv7.html

LISÄTIETOA:

http://www.ngssoftware.com/advisories/db205012005A.txt

http://www.ngssoftware.com/advisories/db205012005B.txt

http://www.ngssoftware.com/advisories/db205012005C.txt

http://www.ngssoftware.com/advisories/db205012005D.txt

http://www.ngssoftware.com/advisories/db205012005E.txt

http://www.ngssoftware.com/advisories/db205012005F.txt

http://www.ngssoftware.com/advisories/db205012005G.txt

http://www.ngssoftware.com/advisories/db205012005H.txt

http://www.ngssoftware.com/advisories/db205012005I.txt

PÄIVITYSHISTORIA:

18.01.2005: Julkaistu
18.01.2005: Lisätty tietoa haavoittuvista IBM DB2 -ohjelmistoversioista.

Sivua päivitetty 26.07.2007

Tulostusversio