当前位置：首页 > 科技 > 知识百科

云安全日报220329：IBM现代元数据管理软件发现执行任意代码漏洞,需要尽快升级

来源：责编：时间：2023-08-07 16:30:05 134观看

导读 IBM Spectrum Discover是IBM公司一款现代化元数据管理软件，它可以为EB级的非结构化数据存储提供数据洞察。它可以快速抓取、整理和索引数十亿个文件和对象的元数据，然后在这些

IBM Spectrum Discover是IBM公司一款现代化元数据管理软件，它可以为EB级的非结构化数据存储提供数据洞察。它可以快速抓取、整理和索引数十亿个文件和对象的元数据，然后在这些数据源之上提供一个高效的、丰富的元数据索引库和集中管理层。这将极大的改进大数据分析过程，加快关键研究的速度，提高存储的经济性，降低风险，从而创造企业竞争优势。

3月28日,IBM发布了安全更新,修复了IBM Spectrum Discover中发现的执行任意代码重要漏洞。以下是漏洞详情：

漏洞详情

来源: https://www.ibm.com/support/pages/node/6566889

1.CVE-2020-7720 CVSS评分：9.8 严重程度:严重

Node.js node-forge 模块可能允许远程攻击者在系统上执行任意代码，这是由 util.setPath 函数中的原型污染缺陷引起的。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

2.CVE-2021-43616 CVSS评分：9.8 严重程度:严重

NPM 可能允许远程攻击者在系统上执行任意代码，这是由于安装持续进行而导致的问题，而 package-lock.json 中的依赖信息与 ci 命令中的 package.json 不同。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

3.CVE-2020-15366 CVSS评分：9.8 严重程度:严重

Ajv（又名另一个 JSON Schema Validator）可能允许远程攻击者在系统上执行任意代码，这是由 ajv.validate 函数中的原型污染缺陷引起的。通过发送特制数据，攻击者可以利用此漏洞在系统上执行任意代码。

4.CVE-2020-13822 CVSS评分：9.8 严重程度:严重

Node.js 的 Elliptic 包可能允许远程攻击者在系统上获得提升的权限。通过使用编码变化、前导 '/0' 字节或整数溢出，攻击者可以利用此漏洞来允许 ECDSA 签名延展性和系统上的提升权限。

5.CVE-2020-7751 CVSS评分：9.8 严重程度:严重

Pathval 可能允许远程攻击者在系统上执行由原型污染缺陷引起的任意代码。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

6.CVE-2020-8116 CVSS评分：9.8 严重程度:严重

Node.js dot-prop 可能允许远程攻击者在系统上执行由原型污染引起的任意代码。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码或导致拒绝服务。

7.CVE-2019-20920 CVSS评分：9.8 严重程度:严重

Node.js 把手模块可能允许远程攻击者在系统上执行任意代码，这是由于查找帮助程序对模板的不正确验证引起的。通过发送特制模板，攻击者可以利用此漏洞在系统上执行任意代码。

8.CVE-2019-19919 CVSS评分：9.8 严重程度:严重

Node.js 把手可能允许远程攻击者在系统上执行由原型污染缺陷引起的任意代码。通过发送特制的有效载荷，攻击者可以利用此漏洞在系统上执行任意代码。

9.CVE-2020-7608 CVSS评分：9.8 严重程度:严重

Node.js yargs-parser 模块可能允许远程攻击者在系统上执行任意代码，这是由原型污染缺陷引起的。通过使用 __proto__ 有效负载添加或修改 Object.prototype 的属性，攻击者可以利用此漏洞在系统上执行任意代码。

10.CVE-2020-7660 CVSS评分：9.8 严重程度:严重

serialize-javascript 可能允许远程攻击者在系统上执行任意代码，这是由 index.js 中的 deleteFunctions 函数中的缺陷引起的。通过发送特制请求，攻击者可以利用此漏洞在系统上注入和执行任意代码。

11.CVE-2021-3918 CVSS评分：9.8 严重程度:严重

Json-schema 可能允许远程攻击者在系统上执行任意代码，这是由于对对象原型属性的不当控制修改造成的。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

12.CVE-2020-1747 CVSS评分：9.8 严重程度:严重

PyYAML 可能允许远程攻击者在系统上执行任意代码，这是由于通过 full_load 方法或使用 FullLoader 加载程序处理不受信任的 YAML 文件时发生的错误引起的。通过滥用 python/object/new 构造函数，攻击者可以利用此漏洞在系统上执行任意代码。

13.CVE-2019-20477 CVSS评分：9.8 严重程度:严重

PyYAML 可能允许远程攻击者在系统上执行任意代码，原因是对 load 和 load_all 函数的限制不足。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

14.CVE-2013-7459 CVSS评分：9.8 严重程度:严重

PyCrypto 容易受到基于堆的缓冲区溢出的影响，这是由 block_templace.c 中的 ALGnew 函数进行的不正确边界检查引起的。通过对 cryptmsg.py 使用特制的 iv 参数，远程攻击者可以溢出缓冲区并在系统上执行任意代码或导致应用程序崩溃。

15.CVE-2020-7699 CVSS评分：9.8 严重程度:严重

express-fileupload 可能允许远程攻击者在系统上执行任意代码，这是由启用parseNested选项时的原型污染缺陷引起的。通过发送特制的 HTTP 请求，攻击者可以利用此漏洞执行任意代码或在系统上造成拒绝服务状况。

受影响产品和版本

上述漏洞影响部署了IBM Spectrum Discover 2.0.4, 2.0.4.1, 2.0.4.2, 2.0.4.3, 2.0.4.4版本

解决方案

IBM Spectrum Discover升级至2.0.4.5升版本可修复。

查看更多漏洞信息以及升级请访问官网：

https://www.ibm.com/blogs/psirt/

本文链接：//www.dmpip.com//www.dmpip.com/showinfo-119-2243-0.html云安全日报220329：IBM现代元数据管理软件发现执行任意代码漏洞,需要尽快升级

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇： Meta已暂停在荷兰的数据中心建设：因环境问题遭政府反对

下一篇：美国防部推迟授予近90亿美元云计算合同

标签：

热门焦点

7月安卓手机好评榜：三星S23Ultra好评率第一

性能榜和性价比榜之后，我们来看最后的安卓手机好评榜，数据来源安兔兔评测，收集时间2023年7月1日至7月31日，仅限国内市场。第一名：三星Galaxy S23 Ultra好评率：95.71%在即将迎来新
CSS单标签实现转转logo

转转品牌升级后更新了全新的Logo，今天我们用纯CSS来实现转转的新Logo，为了有一定的挑战性，这里我们只使用一个标签实现，将最大化的使用CSS能力完成Logo的绘制与动画效果。新logo
Java NIO内存映射文件：提高文件读写效率的优秀实践！

Java的NIO库提供了内存映射文件的支持，它可以将文件映射到内存中，从而可以更快地读取和写入文件数据。本文将对Java内存映射文件进行详细的介绍和演示。内存映射文件概述内存
零售大模型“干中学”，攀爬数字化珠峰

文/侯煜编辑/cc来源/华尔街科技眼对于绝大多数登山爱好者而言，攀爬珠穆朗玛峰可谓终极目标。攀登珠峰的商业路线有两条，一是尼泊尔境内的南坡路线，一是中国境内的北坡路线。相
共享单车的故事讲到哪了？

来源丨海克财经与共享充电宝相差不多，共享单车已很久没有被国内热点新闻关照到了。除了一再涨价和用户直呼用不起了。近日多家媒体再发报道称，成都、天津、郑州等地多个共享单
年轻人的“职场羞耻感”，无处不在

作者：冯晓亭陶淘李欣张琳马舒叶来源：燃次元“人在职场，应该选择什么样的着装？”近日，在网络上，一个与着装相关的帖子引发关注，在该帖子里，一位在高级写字楼亚洲金
OPPO K11评测：旗舰级IMX890加持 2000元档最强影像手机

【Techweb评测】中端机型用户群体巨大，占了中国目前手机市场的大头，一直以来都是各手机品牌的“必争之地”，其中OPPO K系列机型一直以来都以高品质、
朋友圈可以修改可见范围了苹果用户可率先体验

近日，iOS用户迎来微信8.0.27正式版更新，除了可更换二维码背景外，还新增了多项实用功能。在新版微信中，朋友圈终于可以修改可见范围，简单来说就是已发布的朋友圈
英特尔Xe-HP项目终止，将专注Xe-HPC/HPG系列显卡

据10 月 31 日消息报道，英特尔高级副总裁兼加速计算系统和图形事业部总经理表示，Xe-HP“ Arctic Sound” 系列服务器 GPU 已经应用于 oneAPI devcloud 云服