IBM WebSphere MQ up to 8.0.0.8/9.0.4 Memory Leak 拒绝服务漏洞

CVE编号

CVE-2017-1786

利用情况

暂无

补丁情况

N/A

披露时间

2018-04-24

漏洞描述

IBM WebSphere MQ是美国IBM公司的一款消息传递中间件产品。该产品主要为面向服务的体系结构（SOA）提供可靠的、经过验证的消息传递主干网。pubsub是使用在其中的一个发布订阅组件。 IBM WebSphere MQ 8.0版本至8.0.0.8版本和9.0版本至9.0.4版本中的pubsub存在安全漏洞。攻击者可利用该漏洞造成拒绝服务（资源耗尽和内存泄露）。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：http://www-01.ibm.com/support/docview.wss?uid=swg22013023

参考链接
http://www.ibm.com/support/docview.wss?uid=swg22013023
https://exchange.xforce.ibmcloud.com/vulnerabilities/136975

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	ibm	websphere_mq	*	From (including) 8.0	Up to (including) 8.0.0.8
	运行在以下环境
	应用	ibm	websphere_mq	*	From (including) 9.0	Up to (including) 9.0.4
	运行在以下环境
	系统	fedora_26	kernel	*		Up to (excluding) 4.14.11-200.fc26
	运行在以下环境
	系统	fedora_27	kernel	*		Up to (excluding) 4.14.11-300.fc27
	运行在以下环境
	系统	opensuse_Leap_42.2	mupdf-devel-static	*		Up to (excluding) 1.12.0-23.1
	运行在以下环境
	系统	opensuse_Leap_42.3	mupdf-devel-static	*		Up to (excluding) 4.4.114-42.1
	运行在以下环境
	系统	suse_12	kernel-default-extra	*		Up to (excluding) 4.12.14-94.41
	运行在以下环境
	系统	suse_12_SP2	kernel	*		Up to (excluding) 4.4.114-92.64.1
	运行在以下环境
	系统	suse_12_SP3	kernel	*		Up to (excluding) 4.4.114-94.11.2
	运行在以下环境
	系统	ubuntu_14.04.6_lts	linux-azure	*		Up to (excluding) 4.15.0-1023.24~14.04.1
	运行在以下环境
	系统	ubuntu_16.04.7_lts	linux	*		Up to (excluding) 4.4.0-119.143
	运行在以下环境
	系统	ubuntu_18.04.5_lts	mupdf	*		Up to (excluding) 1.12.0+ds1-1
	运行在以下环境
	系统	ubuntu_18.10	mupdf	*		Up to (excluding) 1.12.0+ds1-1

CVSS3评分 5.3

• 攻击路径 网络
• 攻击复杂度 高
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 无
• 完整性 无

CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H

CWE-ID	漏洞类型
CWE-772	对已超过有效生命周期的资源丧失索引

Exp相关链接

- avd.aliyun.com