Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Múltiples vulnerabilidades en API Connect de IBM

Fecha de publicación 12/04/2019
Importancia
5 - Crítica
Recursos Afectados

  • IBM API Connect, versiones desde 5.0.0.0 hasta 5.0.8.6

Descripción

Se han publicado dos vulnerabilidades de tipo inyección de comandos e inclusión de archivos locales (LFI, Local File Inclusion) en API Connect.

Solución
  • IBM ha solucionado ambas vulnerabilidades en la versión 5.0.8.6 iFix.
Detalle
  • IBM API Connect Developer Portal es vulnerable a la inyección de comandos. Un atacante que realice una petición especialmente diseñada puede ejecutar código arbitrario en el servidor y obtener acceso completo al sistema. Se ha reservado el identificador CVE-2019-4202 para esta vulnerabilidad.
  • IBM API Connect Developer Portal puede ser aprovechado por los desarrolladores de aplicaciones para descargar archivos arbitrarios del sistema operativo del host y llevar a cabo ataques SSRF (Server Side Request Forgery). Se ha reservado el identificador CVE-2019-4203 para esta vulnerabilidad.

Encuesta valoración

Listado de referencias
Security Bulletin: IBM API Connect's Developer Portal(V5) is vulnerable to command injection (CVE-2019-4202)
Security Bulletin: IBM API Connect's Developer Portal(V5) is impacted by a critical local file Inclusion vulnerability (CVE-2019-4203)
Etiquetas