Avis du CERT-FR
Objet : Vulnérabilité dans le gestionnaire de base de données IBM DB2
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
DB2 8.1 Entreprise Edition.
Résumé
Une vulnérabilité présente sur le serveur de commande à distance du gestionnaire de base de données DB2 (DB2RCMD.EXE) permet à un utilisateur mal intentionné d'exécuter des commandes arbitraires avec les privilèges du super utlilisateur root.
Description
Une vulnérabilité est présente dans l'exécution de la commande à distance sur le serveur de commande à distance. Lors de la création d'un nouveau processus lancé avec les privilèges du super utilisateur root chargé de prendre en charge cette exécution, elle permet à un utilisateur mal intentionné d'exécuter du code arbitraire avec les privilèges du super utilisateur.
Solution
Appliquer la mise à jour FixPack 5 disponible sur le site d'IBM (cf. section documentation).
Documentation
-
Avis de sécurité IY53894 IBM :
http://www-306.ibm.com/cgi-bin/db2www/data/db2/udb/winos2unix/support/aparlib.d2w/display_apar_details?aparno=IY53894 -
Mise à jour disponible à cette adresse :
http://www-306.ibm.com/cgi-bin/db2www/data/db2/udb/winos2unix/support/v8fphist.d2w/report
Gestion détaillée du document
| Date | Description |
|---|---|
| 10 mars 2004 | version initiale. |