IBM Support

【セキュリティ情報IBM webSphere MQのJavaクライアントが平文でパスワードを送る可能性(CVE-2016-3052)】

Created by Masatsugu Sasai on
Published URL:
https://www.ibm.com/support/pages/node/293549
293549

Security Bulletin


Summary


最新の情報については、下記URLの文書（英語）をご参照ください。
Security Bulletin: IBM WebSphere MQ Java clients might send a password in clear text (CVE-2016-3052)
http://www.ibm.com/support/docview.wss?uid=swg21998660

利用するJavaもしくはJMSアプリケーションが以下のすべての条件を満たす場合、IBM WebSphere MQはネットワーク接続を超えてプレーンテキストでパスワードを送る危険性があります。
1) "PasswordProtection=ALWAYS" と構成
2) USE_MQCSP_AUTHENTICATION_PROPERTY かもしくは USER_AUTHENTICATION_MQCSP のいずれかを"false" と指定
3) プレーンテキスト・チャネル（SSL/TLSを使用しない）を使用

Vulnerability Details

脆弱性ID：CVE-2016-3052
記述：
標準構成でない環境下で、IBM WebSphere MQはネットワークを介したやり取りの際にパスワード･データを平文で送る危険性があります。
このデータは中間者攻撃(man in the middle)を用いて取得することが可能です。
CVSS基本値 ：5.9
CVSS現状値 ：https://exchange.xforce.ibmcloud.com/vulnerabilities/114722 をご参照ください。
CVSS環境値 ：未定義
CVSS区分 ：(CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N)

Affected Products and Versions

IBM WebSphere MQ V8.0
IBM WebSphere MQ V8.0.0.5 以前の保守レベルが影響を受けます。

Remediation/Fixes

保守レベル8.0.0.6 を適用ください。

Workarounds and Mitigations

channel cipherspec を構成してSSL/TLSを使用することで、データを保護します。

Get Notified about Future Security Bulletins

Subscribe to My Notifications to be notified of important product support alerts like this.

References

Complete CVSS v2 Guide
On-line Calculator v2

Complete CVSS v3 Guide
On-line Calculator v3

Off

Related Information

IBM Secure Engineering Web Portal
IBM Product Security Incident Response Blog

IBM Secure Engineering Web Portal
http://www-03.ibm.com/security/secure-engineering/bulletins.html

IBM Product Security Incident Response Blog
https://www.ibm.com/blogs/psirt/

Change History

20 February 2017: Original version published.

*The CVSS Environment Score is customer environment specific and will ultimately impact the Overall CVSS Score. Customers can evaluate the impact of this vulnerability in their environments by accessing the links in the Reference section of this Security Bulletin.

Disclaimer

Review the IBM security bulletin disclaimer and definitions regarding your responsibilities for assessing potential impact of security vulnerabilities to your environment.

[{"Product":{"code":"SSFKSJ","label":"WebSphere MQ"},"Business Unit":{"code":"BU053","label":"Cloud & Data Platform"},"Component":"--","Platform":[{"code":"PF002","label":"AIX"},{"code":"PF010","label":"HP-UX"},{"code":"PF012","label":"IBM i"},{"code":"PF016","label":"Linux"},{"code":"PF027","label":"Solaris"},{"code":"PF033","label":"Windows"}],"Version":"8.0","Edition":"","Line of Business":{"code":"LOB45","label":"Automation"}}]

Document Information

Modified date:
15 June 2018

UID

swg21999852

Page Feedback