专家报告称，IBM的Db2数据管理软件存在安全漏洞

网络安全研究人员今天披露了IBM Db2系列数据管理产品中内存漏洞的详细信息，该漏洞可能允许本地攻击者访问敏感数据，甚至导致拒绝服务攻击。

该漏洞（CVE-2020-4414）会影响IBM Db2 V9。7，V10。1，V10。5，V11。1和V11。所有平台上的5个版本，都是由于共享内存的不当使用而导致的，从而允许不良参与者在系统上执行未经授权的操作。

据发现该问题的Trustwave SpiderLabs安全和研究团队称，通过发送精心编制的请求，攻击者可以利用该漏洞获取敏感信息或导致拒绝服务。

SpiderLabs的Martin Rakhmanov说：“开发人员忘了在Db2跟踪设施使用的共享内存周围设置显式内存保护。”。“这允许任何本地用户对该内存区域进行读写访问。反过来，这允许访问极为敏感的数据，并允许更改跟踪子系统的工作方式，从而导致数据库中出现拒绝服务情况。”

IBM在6月30日发布了一个修补程序来修复该漏洞。


CVE-2020-4414是由于不安全地使用共享内存造成的，Db2跟踪实用程序使用共享内存与系统上的底层操作系统交换信息。

Db2跟踪实用程序用于记录Db2数据和事件，包括报告Db2系统信息、收集性能分析和调优所需的数据，以及出于安全目的捕获数据访问审计跟踪。

鉴于共享内存存储敏感信息，有权访问系统的攻击者可能会创建恶意应用程序，用专用于跟踪数据的恶意数据覆盖内存。

拉赫曼诺夫说：“这意味着，一个没有特权的本地用户只需在该内存段上写入不正确的数据，就可以滥用它，造成拒绝服务的情况。”。

更令人担忧的是，与Db2数据库在同一台计算机上运行的低权限进程可能会改变Db2跟踪，捕获敏感数据，并使用这些信息执行其他攻击。

如果该漏洞听起来很熟悉，那是因为它是影响Cisco的WebEx视频会议服务（CVE-2020-3347）的同一类型内存泄漏漏洞，可能会导致本地经过身份验证的攻击者获取用户名、身份验证令牌和会议信息。

建议Db2用户将软件更新到最新版本，以降低风险。