IBM Support

（参考）セキュリティ速報: IBM License Metric Tool v9.x および IBM BigFix Inventory v9.x に影響するアカウント･ロックアウトの脆弱性(CVE-2016-8964)

Created by Taiki Takemura on

Security Bulletin


Summary

IBM License Metric Tool (ILMT) v9.x と IBM BigFix Inventory (BFI) v9.x にはアカウントをロックアウトする仕組みがないので、攻撃者はブルートフォース/辞書攻撃を行って認証を迂回することができました。この問題はバージョン 9.2.8 で修正されています。

Vulnerability Details

CVEID: CVE-2016-8964
説明: IBM BigFix Inventory v9.x に採用されているアカウント･ロックアウト設定が不十分であるため、リモートの攻撃者はアカウントの資格情報にブルートフォース攻撃を行うことができる。
CVSS 基本スコア: 7.5
CVSS 一時スコア: 現在のスコアは https://exchange.xforce.ibmcloud.com/vulnerabilities/118853 で確認してください。
CVSS 環境スコア*: 未定義
CVSS ベクトル: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Affected Products and Versions

IBM License Metric Tool v9.x
IBM BigFix Inventory v9.x

Remediation/Fixes

以下の手順に従って LMT または BFI をバージョン 9.2.8 以降にアップグレードしてください。

・IBM BigFix コンソールのツリー･パネルの「サイト」ノードで、「IBM BigFix Inventory」ノードまたは
「IBM License Reporting (ILMT)」ノードを展開します。
・「Fixlet とタスク」ノードをクリックします。「Fixlet とタスク」パネルが右側に表示されます。
・「Fixlet とタスク」パネルで、Fixlet「最新バージョンの IBM BigFix Inventory 9.x へのアップグレー
ド」または「最新バージョンの IBM License Metric Tool 9.x へのアップグレード」を探し、サーバーをホストするコンピューターに対して実行します。

関連文書
原文：
(英文)「Security Bulletin: Vulnerability in account lockout affects IBM License Metric Tool v9.x and IBM BigFix Inventory v9.x (CVE-2016-8964)」(Technote #1995024)

この文書は、米国 IBM 社の資料を翻訳した参考文書です。日本語環境での検証は行っておりませんのでご注意ください。翻訳元の文書は、関連文書のリンクよりご参照ください。

Workarounds and Mitigations

ありません。

Get Notified about Future Security Bulletins

Subscribe to My Notifications to be notified of important product support alerts like this.

References

Complete CVSS v2 Guide
On-line Calculator v2

Complete CVSS v3 Guide
On-line Calculator v3

Off

Related Information

IBM Secure Engineering Web Portal
IBM Product Security Incident Response Blog

Change History

2016 年 12 月 16 日 初版発行

*The CVSS Environment Score is customer environment specific and will ultimately impact the Overall CVSS Score. Customers can evaluate the impact of this vulnerability in their environments by accessing the links in the Reference section of this Security Bulletin.

Disclaimer

Review the IBM security bulletin disclaimer and definitions regarding your responsibilities for assessing potential impact of security vulnerabilities to your environment.

Internal Use Only






NumberTypeTitle#ModifiedSize (bytes)Status
DCF Technotes (ISS)


1995024Security BulletinsSecurity Bulletin: Vulnerability in account lockout affects IBM License Metric Tool v9.x and IBM BigFix Inventory v9.x (CVE-2016-8964)
2017/07/16
7,641
Publish Complete

[{"Product":{"code":"SS8JFY","label":"IBM License Metric Tool"},"Business Unit":{"code":"BU059","label":"IBM Software w\/o TPS"},"Component":" ","Platform":[{"code":"PF002","label":"AIX"},{"code":"PF010","label":"HP-UX"},{"code":"PF016","label":"Linux"},{"code":"PF027","label":"Solaris"},{"code":"PF033","label":"Windows"}],"Version":"9.2","Edition":"","Line of Business":{"code":"LOB45","label":"Automation"}}]

Document Information

Modified date:
19 August 2022

UID

swg22011107

Page Feedback