Sicherheitslücke in IBM WebSphere MQ geflickt

Die Lücke in IBM WebSphere MQ 6.x lässt sich für Umgehung der Sicherheitsrichtlinien ausnutzen. Sie ist als weniger kritisch eingestuft, da sich ein Angreifer auf dem lokalen System befinden muss.

Auslöser ist, dass gewisse WebSphere-MQ-Kontroll-Befehle nicht eingeschränkt sind. Somit lässt sich zum Beispiel der Befehls-Server anhalten. Ein erfolgreicher Angriff setzt voraus, dass die Standard-Rechte für die MQM-Gruppe auf dem System gesetzt sind.

Bestätigt ist die Schwachstelle in Version 6.0.x. Administratoren sollten APAR IC78034 einspielen. Alternativ könne man auf Update-Version 6.0.2.11 warten, die sich um die Lücke kümmert: ibm.com (jdo)