IBM API Connect严重缝隙安全公告

颁布功夫 2019-05-05

缝隙编号和级别


CVE编号： ：：CVE-2019-4202，危险级别： ：：严重，CVSS分值： ：：10

CVE编号： ：：CVE-2019-4203，危险级别： ：：严重，CVSS分值： ：：9.8


影响版本及产品


IBM API Connect 5.0.0.0版本至5.0.8.6版本


缝隙概述


IBM API Connect（APIConnect）是美国IBM公司的一套用于治理API性命周期的集成解决规划。。该产品支持创建、、、运行、、、治理和� ；；；PI和微服务等。。是很多金融机构用来支持PSD2划定的盛开银行服务产品。。


F-Secure钻研人员发现IBM API Connect中存在两个严重缝隙： ：：


CVE-2019-4202

号令注入缝隙，该缝隙源于外部输入数据机关可执行号令过程中，网络系统或产品未正确过滤其中的特殊元素。。攻击者可利用该缝隙执行犯法号令。。


CVE-2019-4203

本地文件蕴含缝隙，攻击者可借助Developer Portal利用该缝隙下载主机操作系统上的肆意文件并可能执行服务器端要求伪造攻击。。


缝隙验证


暂无POC/EXP。。


修复建议


目前厂商已颁布升级补丁以修复缝隙： ：：
https://www-01.ibm.com/support/docview.wss?uid=ibm10880109

https://www-01.ibm.com/support/docview.wss?uid=ibm10880569


参考链接


https://www-01.ibm.com/support/docview.wss?uid=ibm10880109
https://www-01.ibm.com/support/docview.wss?uid=ibm10880569