Update behebt Fehler in IBMs Tivoli Provisioning Manager

IBM behebt mit einem Fixpack Sicherheitslücken im Tivoli Provisioning Manager for OS Deployment, durch die Angreifer den Server zum Absturz bringen oder möglicherweise beliebigen Code einschleusen können. Die Software dient dazu, Rechner im Netz via Pre-boot Execution Environment (PXE) über das Netzwerk mit einem Betriebssystem auszustatten. Die Sicherheitslücken betreffen die Web-Schnittstelle zur Administration des Servers.

Die Lücken hat der Sicherheitsdienstleister iDefense gemeldet. Bei der Verarbeitung von präparierten Formulardaten in mehrteiligen HTTP-POST-Anfragen kann es zu Speicherzugriffsverletzungen kommen, durch die der Server abstürzt oder Speicher auf dem Heap verändert wird. Angreifer benötigten keine Anmeldung am System, sondern müssten lediglich in der Lage sein, Pakete an den Server zu schicken, der standardmäßig auf den Ports 8080 und 443 lauscht.

In der Standardkonfiguration läuft der Server mit Systemrechten, wodurch Schadcode vollen Zugriff auf das System erhalten könnte. iDefense merkt an, dass der Server auch mit eingeschränkten Rechten gestartet werden kann, was Administratoren auch einrichten sollten. Durch die Einschränkung des Zugriffs auf den Server mit einer Firewall lässt sich das Risiko ebenfalls reduzieren.

IBM stellt auf seiner Homepage Updates für die betroffenen Versionen (5.1.0.116 und vorherige) bereit. Das Fixpack 2 behebt auch noch andere, eher kosmetische Fehler, und rüstet Unterstützung für weitere Betriebssysteme nach.

Siehe dazu auch:

• IBM Tivoli Provisioning Manager for OS Deployment Multiple Vulnerabilities, Sicherheitsmeldung von iDefense
• Tivoli Provisioning Manager for OS Deployment Fix Pack 5.1.0-TIV-TPMOSD-FP0002, Download und Beschreibung der Änderungen im Fixpack 2 von IBM

(dmk)