云安全日报220426：IBM企业级商业智能报表软件发现执行任意代码漏洞,需要尽快升级

IBM Cognos Analytics是IBM公司的一款功能强大的商业智能报表解决方案。4月25日,IBM发布了安全更新,修复了IBM企业级商业智能报表软件中发现的执行任意代码等高危漏洞。以下是漏洞详情：IRJ28资讯网——每日最新资讯28at.com

漏洞详情IRJ28资讯网——每日最新资讯28at.com

来源: https://www.ibm.com/support/pages/node/6570957IRJ28资讯网——每日最新资讯28at.com

1.CVE-2020-36179, CVE-2020-36180, CVE-2020-36181, CVE-2020-36182, CVE-2020-36183, CVE-2020-36184, CVE-2020-36185, CVE-2020-36186, CVE-2020-36187 CVSS评分：9.8 严重程度:重要IRJ28资讯网——每日最新资讯28at.com

FasterXML jackson-databind 可能允许远程攻击者在系统上执行任意代码，这是由与 org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource 相关的小工具和类型之间的不安全反序列化引起的。通过发送特制输入，攻击者可以利用此漏洞在系统上执行任意代码。IRJ28资讯网——每日最新资讯28at.com

2.CVE-2021-32808 CVSS评分：7.6 严重程度:重要IRJ28资讯网——每日最新资讯28at.com

如果与撤消功能一起使用，CKEditor 容易受到跨站点脚本的攻击，这是由于剪贴板小部件插件对用户提供的输入的不正确验证所致。远程攻击者可以使用格式错误的小部件 HTML 来利用此漏洞，一旦查看页面，该小部件 HTML 将在托管网站的安全上下文中在受害者的 Web 浏览器中执行。攻击者可以利用此漏洞窃取受害者基于 cookie 的身份验证凭据。IRJ28资讯网——每日最新资讯28at.com

3.CVE-2020-28500 CVSS评分：7.5 严重程度:重要IRJ28资讯网——每日最新资讯28at.com

Node.js lodash 模块容易受到拒绝服务的攻击，这是由 toNumber、trim 和 trimEnd 函数中的正则表达式拒绝服务 (ReDoS) 引起的。通过发送特制请求，远程攻击者可以利用此漏洞导致拒绝服务条件。IRJ28资讯网——每日最新资讯28at.com

4.CVE-2020-8203 CVSS评分：7.5 严重程度:重要IRJ28资讯网——每日最新资讯28at.com

节点.js lodash 模块容易受到原型污染攻击导致的拒绝服务攻击。远程攻击者可以使用 merge、mergeWith 和 defaultsDeep 函数利用此漏洞将属性注入 Object.prototype 以使服务器崩溃，并可能在系统上执行任意代码。IRJ28资讯网——每日最新资讯28at.com

5.CVE-2021-23840 CVSS评分：7.5 严重程度:重要IRJ28资讯网——每日最新资讯28at.com

OpenSSL容易受到由 CipherUpdate 中的整数溢出引起的拒绝服务攻击。通过发送过长的参数，攻击者可以利用此漏洞导致应用程序崩溃。IRJ28资讯网——每日最新资讯28at.com

受影响产品和版本IRJ28资讯网——每日最新资讯28at.com

IBM Cognos Analytics 11.1.x, 11.2.x版本IRJ28资讯网——每日最新资讯28at.com

解决方案IRJ28资讯网——每日最新资讯28at.com

IBM Cognos Analytics 11.1.x版本升级至11.1.7F9版本可修复IRJ28资讯网——每日最新资讯28at.com

IBM Cognos Analytics 11.2.x版本升级至11.2.2版本可修复IRJ28资讯网——每日最新资讯28at.com

查看更多漏洞信息 以及升级请访问官网：IRJ28资讯网——每日最新资讯28at.com

https://www.ibm.com/blogs/psirt/IRJ28资讯网——每日最新资讯28at.com

本文链接：http://www.28at.com/showinfo-119-2299-0.html云安全日报220426：IBM企业级商业智能报表软件发现执行任意代码漏洞,需要尽快升级

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇： 数据中心进入“液冷时代” 曙光助力绿色数据中心建设

下一篇： 云安全日报220428：思科Catalyst9000系列交换机发现权限提升漏洞,需要尽快升级