S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 16 août 2007 No CERTA-2007-AVI-365

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans IBM DB2

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• élévation de privilèges.

2 Systèmes affectés

• IBM DB2 Universal Database version 8 ;
• IBM DB2 Universal Database version 9.1.

3 Résumé

Plusieurs vulnérabilités ont été identifiées dans le système de base de données IBM DB2. L'exploitation de ces dernières permettrait à une personne malveillante connectée d'élever ses privilèges, et à contourner la politique de sécurité.

4 Description

Plusieurs vulnérabilités ont été identifiées dans le système de base de données IBM DB2. La plupart n'ont pas été spécifiées, mais elles concerneraient les procédures d'autorisation, la manipulation de certaines variables d'environnement, et l'ouverture incorrecte de fichiers particuliers. Enfin, un utilisateur pourrait encore utiliser des méthodes, même si les privilèges associés de celles-ci ont été révoqués.

5 Solution

Se référer aux bulletins de sécurité de l'éditeur IBM pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité IBM swg1JR25940 du 14 août 2007 :

  http://www-1.ibm.com/support/docview.wss?uid=swg1JR25940
  

• Bulletin de sécurité IBM swg21255332 du 14 août 2007 :

  http://www-1.ibm.com/support/docview.wss?uid=swg21255332
  

• Bulletin de sécurité IBM swg21255607 du 14 août 2007 :

  http://www-1.ibm.com/support/docview.wss?uid=swg21255607
  

• Bulletin de sécurité IBM swg1IY88226 du 14 août 2007 :

  http://www-1.ibm.com/support/docview.wss?uid=swg1IY88226
  

Gestion détaillée du document

16 août 2007

version initiale.