Avis du CERT-FR

Json

Objet : Vulnérabilités dans IBM DB2

Gestion du document

Référence	CERTA-2009-AVI-412
Titre	Vulnérabilités dans IBM DB2
Date de la première version	30 septembre 2009
Date de la dernière version	30 septembre 2009
Source(s)

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité

Systèmes affectés

IBM DB2 versions 8 et 9.

Résumé

Plusieurs vulnérabilités présentes dans IBM DB2 permettent à un utilisateur malveillant de contourner la politique de sécurité et de porter atteinte à l'intégrité et à la confidentialité des données.

Description

Plusieurs vulnérabilités sont présentes dans IBM DB2 :

quand l'authentification utilise LDAP, des connexions non autorisées sont possibles ;
la perte des privilèges pour modifier une table n'est pas répercutée convenablement ;
une erreur non précisée permet à un utilisateur malveillant d'insérer, de modifier ou de supprimer sans droits des enregistrements ;
une erreur non précisée permet à un utilisateur malveillant d'utiliser sans droits la commande SET USER AUTHORIZATION TO et ainsi d'acquérir les privilèges d'un autre utilisateur.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité IBM swg21386689 du 28 septembre 2009 :
http://www-01.ibm.com/support/docview.wss?uid=swg21386689
Bulletin de sécurité IBM swg21403619 du 28 septembre 2009 :
http://www-01.ibm.com/support/docview.wss?uid=swg21403619

Gestion détaillée du document

Date	Description
30 septembre 2009	version initiale.