NCSC-2025-0064

IBM heeft kwetsbaarheden verholpen in IBM Cognos Controller (Versies 11.0.0 tot 11.0.1 FP3 en 11.1.0).

De kwetsbaarheden stellen een kwaadwillende in staat om aanvallen uit te voeren die kunnen leiden tot de volgende categorieën schade:

• Denial-of-Service (DoS)
• Cross-Site-Scripting (XSS)
• Omzeilen van een beveiligingsmaatregel
• Manipulatie van gegevens
• Verkrijgen van verhoogde rechten
• Uitvoer van willekeurige code (Gebruikersrechten)
• Toegang tot gevoelige informatie

De kwetsbaarheden bevinden zich zowel in de Cognos Controller-Applicatie zelf, als in onderliggende producten, zoals Java, Websphere Liberty, Apache Ant en diverse Open Source componenten, welke met Cognos Controller worden meegeleverd.

IBM heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.

medium

high

Improper Handling of Length Parameter Inconsistency

CWE-399

Creation of Temporary File in Directory with Insecure Permissions

Channel Accessible by Non-Endpoint

Use of Hard-coded Credentials

Improper Access Control

Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution')

Improper Certificate Validation

XML Injection (aka Blind XPath Injection)

Improper Control of Generation of Code ('Code Injection')

Use of a Broken or Risky Cryptographic Algorithm

Uncontrolled Resource Consumption

Allocation of Resources Without Limits or Throttling

Deserialization of Untrusted Data

Insecure Temporary File

Incorrect Authorization

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

Improper Restriction of XML External Entity Reference

Out-of-bounds Write

Improper Input Validation

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')