Múltiples vulnerabilidades en API Connect de IBM

Fecha de publicación

12/04/2019

Importancia

5 - Crítica

Recursos Afectados

Descripción

Se han publicado dos vulnerabilidades de tipo inyección de comandos e inclusión de archivos locales (LFI, Local File Inclusion) en API Connect.

Solución

Detalle

IBM API Connect Developer Portal es vulnerable a la inyección de comandos. Un atacante que realice una petición especialmente diseñada puede ejecutar código arbitrario en el servidor y obtener acceso completo al sistema. Se ha reservado el identificador CVE-2019-4202 para esta vulnerabilidad.
IBM API Connect Developer Portal puede ser aprovechado por los desarrolladores de aplicaciones para descargar archivos arbitrarios del sistema operativo del host y llevar a cabo ataques SSRF (Server Side Request Forgery). Se ha reservado el identificador CVE-2019-4203 para esta vulnerabilidad.