IBM Spectrum Protect Plus目录遍历漏洞(CVE-2020-4711)与任意代码执行漏洞(CVE-2020-4703)

来源:scanv2020.09.17

一 漏洞概述

IBM Spectrum Protect Plus是用于虚拟环境的数据保护和可用性解决方案,可作为独立解决方案来实施,或者与 IBM Spectrum Protect 环境集成,从而大规模高效转移副本用于长期存储和数据监管。9月15日,IBM官方发布安全公告,修复了Spectrum Protect Plus的管理控制台中存在的目录遍历漏洞(CVE-2020-4711)与任意代码执行漏洞(CVE-2020-4703)。

CVE-2020-4711是Spectrum Protect Plus的脚本/opt/ECX/tools/scripts/restore_wrapper.sh中的目录遍历漏洞,未经身份验证的攻击者可通过发送特制的HTTP请求查看系统上的任意文件。CVE-2020-4703允许经过身份验证的攻击者上载任意文件,从而在易受攻击的服务器上执行任意代码,此漏洞是由于6月份披露的CVE-2020-4470修复不完整所造成的。

 

二 影响版本

10.1.0<= IBM Spectrum Protect Plus <=10.1.6

 

三 复现过程

四 影响范围

根据 ZoomEye 网络空间搜索引擎对关键字"IBM Spectrum Protect Plus"进行搜索,共得到 4,555,524 条 IP 历史记录,集中分布在美国和中国。

 

五 修复建议

目前官方已针对以上漏洞发布了修复包,请受影响的用户尽快安装更新进行防护,下载链接及安装说明:

https://www.ibm.com/support/pages/node/6254732

 

六 时间线

IBM官方发布时间:2020年9月15日

知道创宇发布漏洞情报时间:2020年9月17日

 

七 相关链接

https://www.ibm.com/support/pages/node/6254732

 

ZoomEye 网络空间搜索引擎:

https://www.zoomeye.org/searchResult?q=IBM%20Spectrum%20Protect%20Plus

热门文章

关注知道创宇云安全

获取安全动态