IBM DB2 9.7 < FP11 40162 / 10.1 < FP6 40161 / 10.5 < FP11 40160 / 11.1 < FP5 40159 / 11.5 < Mod 4 FP0 多个漏洞 (Windows)

high Nessus 插件 ID 138333

语言：

简介

远程数据库服务器受到多个漏洞的影响。

描述

根据其版本，远程主机上运行的 IBM DB2 版本为低于 Fix Pack 11 Special Build 40162 的 9.7、低于 Fix Pack 6 Special Build 40161 的 10.1、低于 Fix Pack 11 Special Build 40160 的 10.5、低于 Fix Pack 5 Special Build 40159 的 11.1 或低于 Mod 4 Fix Pack 0 的 11.5。因此会受到以下一个或多个漏洞的影响：

- Linux、UNIX 和 Windows 版 IBM DB2（包括 DB2 Connect Server）9.7、 10.1、 10.5、 11.1 和 11.5 容易受到拒绝服务的影响，这是未正确处理安全套接字层 (SSL) 重新协商请求所致。远程攻击者可利用此漏洞，通过发送特别构建的请求来增加对系统的资源占用。(CVE-2020-4355)

- Linux、UNIX 和 Windows 版 IBM DB2（包括 DB2 Connect Server）9.7、10.1、10.5、11.1 和 11.5 容易受到缓冲区溢出影响，这是边界检查不当所致，本地攻击者可利用此问题以根权限在系统上执行任意代码。(CVE-2020-4363)

- 本地用户可通过 Linux、UNIX 和 Windows 版 IBM DB2（包括 DB2 Connect Server) 9.7、10.1、10.5、11.1 和 11.5，利用符号链接的争用条件获取敏感信息。（CVE-2020-4386、CVE-2020-4387）

- Linux、UNIX 和 Windows 版 IBM DB2（包括 DB2 Connect Server）9.7、10.1、10.5、11.1 和 11.5 允许本地攻击者在系统上执行未授权的操作，这是未正确使用共享内存所致。
攻击者可利用此漏洞，通过发送特别构建的请求来获取敏感信息或造成拒绝服务 (DoS)。(CVE-2020-4414)

- 未经身份验证的攻击者可利用 Linux、UNIX 和 Windows 版 IBM DB2（包括 DB2 Connect Server）9.7、 10.1、 10.5、 11.1 和 11.5，在执行终止命令时造成挂起，进而导致拒绝服务。(CVE-2020-4420) 请注意，Nessus没有测试此问题，而仅依赖于应用程序自我报告的版本号。