IBM API Connect严重误差清静通告

宣布时间 2019-05-05

误差编号和级别


CVE编号：CVE-2019-4202 ，危险级别：严重 ，CVSS分值：10

CVE编号：CVE-2019-4203 ，危险级别：严重 ，CVSS分值：9.8


影响版本及产品


IBM API Connect 5.0.0.0版本至5.0.8.6版本


误差概述


IBM API Connect（APIConnect）是美国IBM公司的一套用于治理API生命周期的集成解决计划。该产品支持建设、运行、治理和�；PI和微服务等。是许多金融机构用来支持PSD2划定的开放银行服务产品。


F-Secure研究职员发明IBM API Connect中保存两个严重误差：


CVE-2019-4202

下令注入误差 ，该误差源于外部输入数据结构可执行下令历程中 ，网络系统或产品未准确过滤其中的特殊元素。攻击者可使用该误差执行不法下令。


CVE-2019-4203

外地文件包括误差 ，攻击者可借助Developer Portal使用该误差下载主机操作系统上的恣意文件并可能实验服务器端请求伪造攻击。


误差验证


暂无POC/EXP。


修复建议


现在厂商已宣布升级补丁以修复误差：
https://www-01.ibm.com/support/docview.wss?uid=ibm10880109

https://www-01.ibm.com/support/docview.wss?uid=ibm10880569


参考链接


https://www-01.ibm.com/support/docview.wss?uid=ibm10880109
https://www-01.ibm.com/support/docview.wss?uid=ibm10880569