IBM VM Recovery Manager HA/DR是IBM公司的一套高可用(HA)和灾备(DR)解决方案。7月27日,IBM发布了安全更新,修复了IBM高可用(HA)和灾备(DR)解决方案中发现的安全绕过漏洞。以下是漏洞详情：

漏洞详情

来源: https://www.ibm.com/support/pages/node/6475691

1.第三方条目：173110 CVSS评分：7.5 严重程度:重要

npm中存在的漏洞影响IBM VM Recovery Manager。Nodejs npm包可能允许远程攻击者获取敏感信息，这是由于未能通过bin字段将创建的符号链接限制到node_modules文件夹之外的文件。通过发送特制的请求，攻击者可以利用此漏洞访问未经授权的文件,并使用此信息对受影响的系统发起进一步攻击。

2.第三方条目：173111 CVSS评分：7.5 严重程度:重要

npm中存在的漏洞影响IBM VM Recovery Manager。Nodejs npm包可能允许远程攻击者绕过安全限制，这是由于无法限制全局安装的二进制文件被其他包安装覆盖。通过发送特制的请求，攻击者可以利用此漏洞覆盖全局安装的二进制文件。

3.CVE-2019-16777 CVSS评分：6.2 严重程度: 重要

npm中存在的漏洞影响IBM VM Recovery Manager。npm CLI 可能允许本地攻击者绕过安全限制，这是由于无法防止现有的全局安装的二进制文件被其他软件包安装覆盖。攻击者可以利用此漏洞绕过文件系统访问限制，用全局安装的软件包覆盖现有二进制文件。

4.CVE-2019-16776 CVSS评分：6.2 严重程度: 重要

npm中存在的漏洞影响IBM VM Recovery Manager。npm CLI可能允许本地攻击者绕过安全限制，这是由于未能阻止通过bin字段访问预期node_modules文件夹之外的文件夹造成的。攻击者可以利用此漏洞通过bin字段访问预期node_modules文件夹之外的文件夹。

5.CVE-2019-16775 CVSS评分：6.2 严重程度: 重要

npm中存在的漏洞影响IBM VM Recovery Manager。npm CLI可能允许本地攻击者绕过由任意文件覆盖漏洞引起的安全限制。攻击者可以利用此漏洞绕过文件系统访问限制，在安装时通过 bin字段创建指向node_modules文件夹外文件的符号链接。

受影响的产品和版本

上述漏洞影响IBM VM Recovery Manager HA/DR V1.5及更早版本

解决方案

IBM已发布安全更新,升级VM Recovery Manager HA Version 1.5.0.1以及VM Recovery Manager DR Version 1.5.0.1版本可修复。

查看更多漏洞信息 以及升级请访问官网：

https://www.ibm.com/blogs/psirt/