IBM API Connect严沉缝隙安全公告

颁布功夫 2019-05-05

缝隙编号和级别


CVE编号：CVE-2019-4202 ，危险级别：严沉 ，CVSS分值：10

CVE编号：CVE-2019-4203 ，危险级别：严沉 ，CVSS分值：9.8


影响版本及产品


IBM API Connect 5.0.0.0版本至5.0.8.6版本


缝隙概述


IBM API Connect（APIConnect）是美国IBM公司的一套用于治理API性命周期的集成解决规划。该产品支持创建、运杏注治理和�；PI和微服务等。是很多金融机构用来支持PSD2划定的盛开银行服务产品。


F-Secure钻研人员发现IBM API Connect中存在两个严沉缝隙：


CVE-2019-4202

号令注入缝隙 ，该缝隙源于表部输入数据机关可执行号令过程中 ，网络系统或产品未正确过滤其中的特殊元素。攻击者可利用该缝隙执行犯法号令。


CVE-2019-4203

本地文件蕴含缝隙 ，攻击者可借助Developer Portal利用该缝隙下载主机操作系统上的肆意文件并可能执行服务器端要求伪造攻击。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙：
https://www-01.ibm.com/support/docview.wss?uid=ibm10880109

https://www-01.ibm.com/support/docview.wss?uid=ibm10880569


参考链接


https://www-01.ibm.com/support/docview.wss?uid=ibm10880109
https://www-01.ibm.com/support/docview.wss?uid=ibm10880569