威胁预警：IBM InfoSphere系列产品中发现多处高危安全漏洞

近期，网络安全公司SEC Consult披露了影响IBM InfoSphere DataStage以及IBM InfoSphere Information Server等产品的若干个未修复漏洞的详细信息。

据悉，IBM InfoSphere DataStage 是一款强大的基于图形化界面的 ETL 工具，它可以从多个不同的业务系统，多个平台的数据源中抽取数据、转换数据、装载数据到各种目标系统中；而IBM InfoSphere Information Server 则是一种数据集成平台，具有高度的可扩展性和灵活性，提供大规模并行处理能力，能够通过可信的信息形成深入洞察。

安全研究人员表示，这些漏洞已于今年5月23日报告给了产品供应商，但更新程序直至现在也没有发布。目前，IBM公司只是发布了针对每个问题的建议，提供了如何减轻潜在威胁的安全策略。

SEC Consult公司研究人员在InfoSphere DataStage 11.5版本中发现了一系列属于“高危”级别的漏洞，但是后来，IBM公司确定称，这些漏洞也会影响InfoSphere Information Server以及DataStage 9.1、11.3和11.5等版本。

据悉，这些漏洞中最严重的是CVE-2017-1468，CVSS得分8.4。该安全漏洞存在的原因是由于Director和Designer客户端在加载和运行可执行文件之前不会检查文件签名，因此可以允许本地攻击者将任意可执行文件放在安装目录中并升级权限。

另外一个高危漏洞是CVE-2017-1467，它是弱授权问题，允许攻击者执行任意的系统命令。

IBM公司在其安全公告中表示，

未经授权的用户可以拦截客户端和服务器之间的通信，并在无需特权访问的情况下重复某些DataStage命令。

其他较为严重的安全漏洞还包括CVE-2017-1383（CVSS得分6.4），它是一个XML外部实体（XXE）注入漏洞，允许攻击者从客户端系统获取任意文件。

此外，研究人员还发现，特权用户可以触发内存转储，其中可能包含高度敏感的明文信息，包括登录凭证等。IBM也警告称，应用程序可以从其主目录加载DLL文件，而无需对这些文件进行验证，如此一来可能会导致任意代码执行问题。

虽然，截至目前，应用于修复这些安全漏洞的更新程序尚未发布，但是IBM公司已经为大多数问题提供了缓解建议，针对DLL劫持漏洞的缓解方案预计将于11月30日前提供给用户。

此外，该科技巨头（IBM）还表示，这些安全漏洞将在其正在开发的新客户端界面中得到彻底解决，届时用户可以放心使用。

最后，SEC Consult公司在其安全公告中表示，

SEC Consult建议供应商可以基于安全源代码进行一次全面的安全评估，以便及时识别远程管理平台中的所有安全漏洞，以便为其客户提供更强的安全保障。