Mehrere Fehler im Unicenter Asset Management von Computer Associates

Computer Associates weist auf drei Schwachstellen im Unicenter Asset Management (UAM) hin. So zeige das UAM in der Admin-Konsole das SQL-Administrator-Passwort mit "***" an. Verschaffe sich jemand unberechtigt Zugang zu einer geöffneten Admin-Konsole, lasse sich mit speziellen Tools daraus das Passwort auslesen.

Auch werde die Eingabe im UAM-Reporter nicht auf Code überprüft. Ein Angreifer mit Schreibrechten könne dort willkürlichen Code in ein Report-Template einfügen. Dieser Code wird unter Umständen beim Betrachter des Reports im Browser ausgeführt. Da das UAM in der Regel im lokalen Netz steht, kommen dabei meist die lockeren Sicherheitseinstellungen der Intranet-Zone zum Einsatz, über die sich eventuell Schwachstellen ausnutzen lassen.

Zudem prüfe der UAM-Query-Designer importierte Dateien nicht ausreichend. So könne ein Angreifer über speziell präparierte Dateien SQL-Queries einschleusen.

Alle Fehler betreffen das Release 4.0 für Windows. CA bietet als Lösung den Fix QO64323 an.

Siehe dazu auch: (eck)

• UAM 40-CONSOLE SECURITY VULNERABILITIES von Computer Associates