ibm db2是美國ibm公司開發(fā)的一套關(guān)系型數(shù)據(jù)庫管理系統(tǒng)，它主要的運行環(huán)境為unix（包括ibm自家的aix）、linux、ibm i（舊稱os/400）、z/os，以及windows服務(wù)器版本。11月19日，ibm發(fā)布安全公告，ibm db2發(fā)現(xiàn)執(zhí)行任意代碼最高特權(quán)漏洞，需要盡快升級。以下是漏洞詳情：
漏洞詳情
來源：https://www.ibm.com/support/pages/node/6370025
1.cveid: cve-2020-4701 cvss評分：8.4 高
適用于linux，unix和windows的ibm db2（包括db2 connect服務(wù)器）容易受到緩沖區(qū)溢出的影響，這是由不正確的邊界檢查引起的，邊界檢查可能允許本地攻擊者使用root用戶(可獲得系統(tǒng)最高特權(quán))在系統(tǒng)上執(zhí)行任意代碼特權(quán)。
受影響產(chǎn)品和版本
所有平臺上的ibm db2 v10.5，v11.1和v11.5版本的所有修訂包級別均受到影響。ibm db2 v10.1和9.7不受影響。
解決方案
運行受影響程序的任何易受攻擊的修訂包級別的客戶都可以從fix central下載包含此問題的臨時修訂的特殊內(nèi)部版本。根據(jù)每個受影響的發(fā)行版的最新修訂包級別，可以使用這些特殊版本：v10.5 fp11、11.1 fp5和v11.5.4。它們可以應(yīng)用于適當版本的任何受影響的修訂包級別，以修復(fù)此漏洞。
來源：https://www.ibm.com/support/pages/node/6370023
2.cveid: cve-2020-4739 cvss評分：7.8 高
windows上的ibm db2可能允許本地經(jīng)過身份驗證的攻擊者在系統(tǒng)上執(zhí)行任意代碼，這是由microsoft windows客戶端中的dll搜索順序劫持漏洞引起的。通過將特制文件放在受感染的文件夾中，攻擊者可以利用此漏洞在系統(tǒng)上執(zhí)行任意代碼。
受影響產(chǎn)品和版本
windows上的ibm db2 v9.7，v10.1，v10.5，v11.1和v11.5版本的所有修訂包級別均受到影響。linux和unix不受影響。
解決方案
運行受影響程序的任何易受攻擊的修訂包級別的客戶都可以從fix central下載包含此問題的臨時修訂的特殊內(nèi)部版本。根據(jù)每個受影響的發(fā)行版的最新修訂包級別，可以使用這些特殊版本：v9.7 fp11，v10.1 fp6，v10.5 fp11、11.1 fp5和v11.5.4。它們可以應(yīng)用于適當版本的任何受影響的修訂包級別，以修復(fù)此漏洞。
查看更多漏洞信息 以及升級請訪問官網(wǎng)：
https://www.ibm.com/blogs/psirt/