Taloussanomat
Lue uutinen mobiilisivustolla
IBM BladeCenter Advanced Management Module -ohjelmistosta

Louhi kaivoi vakavia ongelmia korttipalvelinsoftasta

21.4.2009 11:09 Cert-Fi varoittaa useista haavoittuvuuksista IBM BladeCenter Advanced Management Module -ohjelmistossa. Aukot löysi Louhi Networks.

Kysymys on useista cross-site scripting - (xss) ja cross-site request forgery (csrf) -haavoittuvuuksista.

Csrf-haavoittuvuuksia voi hyväksikäyttää houkuttelemalla käyttäjä hyökkäystarkoituksessa laaditulle www-sivustolle. Käyttäjän tulee olla kirjautunut web-hallintakäyttöliittymään, jotta hyväksikäyttö onnistuisi, ja web-hallintasovelluksen ip-osoitteen on myös oltava hyökkääjän tiedossa.

Haavoittuvuuksia hyödyntämällä rikollinen voi kuitenkin suorittaa Advanced Management Modulen välityksellä BladeCenterissä samoja komentoja kuin hyökkäyssivulle eksynyt hallintakäyttöliittymään kirjautunut käyttäjä.

Hyökkääjä voi
sammuttaa palvelimen

Haavoittuvuuksien joukossa on myös pysyvä (tyypin 2) xss-aukko, jossa sovellus kirjoittaa epäonnistuneissa kirjautumisyrityksissä käytetyt käyttäjätunnukset sovelluksen lokisivulle ilman syötteen tarkistusta.

Haavoittuvuutta voi hyväksikäyttää tekemällä kirjautumisyrityksen tietyllä tavalla muotoiltua käyttäjätunnusta käyttäen. Hyväksikäyttö tapahtuu, kun hallintakäyttöliittymään kirjautunut käyttäjä avaa selaimessaan sovelluksen lokisivun.

Louhen Henri Lindberg painottaa It-viikolle, että tämä on haavoittuvuuksista vakavin.

– Mikäli hallintaliittymän kirjautumissivulle pääsyä ei ole estetty, voi hyökkääjä injektoida virhesivulle javascriptiä, joka aktivoituu ylläpitäjän vieraillessa hallintaliittymässä myöhempänä ajankohtana. Haavoittuvuuden hyödyntäminen ei siis edellytä social engineeringiä. Hyökkääjä voi esimerkiksi sammuttaa korttipalvelimia, tai tehdä muita toimenpiteitä ylläpitäjän oikeuksilla, Lindberg huomioi.

IBM
korjasi

Cert-Fi on koordinoinut haavoittuvuuden julkaisun Louhen ja IBM:n välillä. Cert-Fi kiittää Louhi Networksin Henri Lindbergiä haavoittuvuuden raportoinnista ja IBM:ää yhteistyöstä haavoittuvuuden korjaamisessa.

Haavoittuvuudet koskevat IBM BladeCenter Advanded Management Modulen versiota 1.42 ennen versiota 1.42U. Reikiä voi myös osin rajoittaa hillitsemällä web-hallintaliittymän käyttöä Louhen tietojen mukaisesti.

IBM:n ensimmäinen haavoittuvuustiedote
IBM:n toinen haavoittuvuustiedote

Jutun kirjoitti: Tuomas Linnake
Nimeä-Ei muutoksia-Epäkaupallinen -lisenssi

Tuomas Linnake

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Aiheeseen liittyviä uutisia

Uudemmat

Mainitut yritykset

Kirjoita kommentti

Kommentit (3)

Hyvä 0
Huono 0
Wanha uutinen.
Uutisista pulaa
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 21.4.2009 12:57
Hyvä 9
Huono 9
Niin, mutta meinasi jäädä huomaamatta mahdollisuus mainita Louhi. Ihmettelen vain miten heitä jatkuvasti uutisoidaan, oli syytä tai ei.
-
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 21.4.2009 13:19
Sivut: 1 Edellinen Seuraava
Kirjoita vastaus
Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
> Lue koko keskusteluetiketti

Kevyt ja nopea

Oletko jo tutustunut m.digitoday.fi-mobiilisivustoon?

Uutisviikko

Mitä viikolla on tapahtunut, mikä puhuttanut eniten? Koko viikon uutiset.

Uusimmat uutiset

Poiminnat

Tietoa uhkaavat jättilasku ja asiakaskato Ruotsissa
Onko verkkopalveluusi murtauduttu?
Lehti: Rovio antoi rukkaset kosijalle
12 vaarallisinta älypuhelinta: Kaikki Androideja
Uusi vuoto paljasti yli 70 000 käyttäjätunnusta ja salasanaa
Facebook tekee radikaalin muutoksen

Digiyesterday

Viisi vuotta sitten

Kuriiri kadotti 80 000:n potilastiedot

11.02.2007 Amerikkalaisen Johns Hopkins -organisaation 52 000 työntekijän ja 83 000 potilaan tiedot sisältäneet nauhat ovat kadonneet matkalla alihankkijalle, joka tekee nauhoista varmuuskopioita.

Kolme vuotta sitten

USA:n ilmailulaitoksen palvelin murrettiin

11.02.2009 Yhdysvaltain ilmailulaitos Federal Aviation Administration kertoo, että sen tietojärjestelmiin murtauduttiin viime viikolla. Seurauksena 45 000:n hengen tietoturva on vaarantunut.

Taloussanomat

.