正文

IBM Emptoris Sourcing开放重定向漏洞（CNVD-2017-25052）

admin
admin V管理员 /0 评论 /16 阅读
0425
此篇文章发布距今已超过1098天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2017-1450

利用情况

暂无

补丁情况

N/A

披露时间

2017-09-01
漏洞描述
IBM Emptoris Sourcing是美国IBM公司的一套寻源到合同解决方案。该方案通过在寻源决策时考察成本、风险和绩效等因素，帮助企业从供应商那里获得实惠的价格和更大的价值。
IBM Emptoris Sourcing 9.5.x版本至10.1.x版本中存在开放重定向漏洞。远程攻击者可通过诱使用户访问特制的网站利用该漏洞将用户重定向到恶意的网站，实施钓鱼攻击，获取敏感信息。
解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
http://www-01.ibm.com/support/docview.wss?uid=swg22005834
参考链接
http://www-01.ibm.com/support/docview.wss?uid=swg22005834
https://exchange.xforce.ibmcloud.com/vulnerabilities/128177
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 ibm emptoris_sourcing 10.0.0 -
运行在以下环境
应用 ibm emptoris_sourcing 10.0.1 -
运行在以下环境
应用 ibm emptoris_sourcing 10.0.2 -
运行在以下环境
应用 ibm emptoris_sourcing 10.0.4 -
运行在以下环境
应用 ibm emptoris_sourcing 10.1.0 -
运行在以下环境
应用 ibm emptoris_sourcing 10.1.1 -
运行在以下环境
应用 ibm emptoris_sourcing 10.1.3 -
运行在以下环境
应用 ibm emptoris_sourcing 9.5 -
运行在以下环境
应用 ibm emptoris_sourcing 9.5.0.1 -
运行在以下环境
应用 ibm emptoris_sourcing 9.5.0.2 -
运行在以下环境
应用 ibm emptoris_sourcing 9.5.1.0 -
运行在以下环境
应用 ibm emptoris_sourcing 9.5.1.1 -
运行在以下环境
应用 ibm emptoris_sourcing 9.5.1.2 -
运行在以下环境
应用 ibm emptoris_sourcing 9.5.1.3 -
运行在以下环境
系统 alibaba_cloud_linux_2.1903 libarchive * Up to
(excluding)
3.1.2-12.1.al7
运行在以下环境
系统 alpine_3.10 libarchive * Up to
(excluding)
1.3.27-r0
运行在以下环境
系统 alpine_3.11 libarchive * Up to
(excluding)
1.3.27-r0
运行在以下环境
系统 alpine_3.12 libarchive * Up to
(excluding)
1.3.27-r0
运行在以下环境
系统 alpine_3.13 libarchive * Up to
(excluding)
1.3.27-r0
运行在以下环境
系统 alpine_3.3 libarchive * Up to
(excluding)
2.9-r5
运行在以下环境
系统 alpine_3.4 libarchive * Up to
(excluding)
2.9-r5
运行在以下环境
系统 alpine_3.5 libarchive * Up to
(excluding)
2.9-r5
运行在以下环境
系统 alpine_3.6 libarchive * Up to
(excluding)
2.9-r5
运行在以下环境
系统 alpine_3.7 libarchive * Up to
(excluding)
3.3.3-r0
运行在以下环境
系统 alpine_3.8 libarchive * Up to
(excluding)
3.3.3-r0
运行在以下环境
系统 alpine_3.9 libarchive * Up to
(excluding)
3.3.3-r0
运行在以下环境
系统 alpine_edge libarchive * Up to
(excluding)
1.3.27-r0
运行在以下环境
系统 amazon_2 libarchive * Up to
(excluding)
3.1.2-12.amzn2
运行在以下环境
系统 amazon_AMI libarchive * Up to
(excluding)
3.1.2-12.12.amzn1
运行在以下环境
系统 debian_7 libarchive * Up to
(excluding)
1.3.16-1.1+deb7u10
运行在以下环境
系统 debian_8 libarchive * Up to
(excluding)
1.3.20-3+deb8u2
运行在以下环境
系统 debian_9 libarchive * Up to
(excluding)
1.3.30+hg15796-1~deb9u1
运行在以下环境
系统 fedora_26 libarchive * Up to
(excluding)
6.9.9.22-1.fc26
运行在以下环境
系统 fedora_27 libarchive * Up to
(excluding)
6.9.9.22-1.fc27
运行在以下环境
系统 fedora_28 libarchive * Up to
(excluding)
3.3.3-1.fc28
运行在以下环境
系统 fedora_29 libarchive * Up to
(excluding)
3.3.3-1.fc29
运行在以下环境
系统 fedora_30 libarchive * Up to
(excluding)
1.3.32-1.fc30
运行在以下环境
系统 fedora_EPEL_7 libarchive * Up to
(excluding)
1.3.34-1.el7
运行在以下环境
系统 fedora_EPEL_8 libarchive * Up to
(excluding)
1.3.34-1.el8
运行在以下环境
系统 opensuse_Leap_15.0 libarchive * Up to
(excluding)
3.3.2-lp150.2.3.1
运行在以下环境
系统 opensuse_Leap_42.2 libarchive * Up to
(excluding)
2.9-8.1
运行在以下环境
系统 opensuse_Leap_42.3 libarchive * Up to
(excluding)
2.9-8.1
运行在以下环境
系统 oracle_7 libarchive * Up to
(excluding)
3.1.2-12.el7
运行在以下环境
系统 oracle_8 libarchive * Up to
(excluding)
3.3.2-7.el8
运行在以下环境
系统 suse_11_SP4 libarchive * Up to
(excluding)
6.4.3.6-78.40.1
运行在以下环境
系统 suse_12_SP2 libarchive * Up to
(excluding)
1-6.8.8.1-71.47.1
运行在以下环境
系统 suse_12_SP3 libarchive * Up to
(excluding)
3.1.2-26.3.1
运行在以下环境
系统 suse_12_SP4 libarchive * Up to
(excluding)
3.1.2-26.3.1
运行在以下环境
系统 suse_12_SP5 libarchive * Up to
(excluding)
3.1.2-26.6.1
CVSS3评分 6.1
  • 攻击路径 网络
  • 攻击复杂度 低
  • 权限要求 无
  • 影响范围 已更改
  • 用户交互 需要
  • 可用性 无
  • 保密性 低
  • 完整性 低
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CWE-ID 漏洞类型 CWE-601 指向未可信站点的URL重定向（开放重定向）