云安全日报200831：IBM 人工智能搜索数据平台发现高危漏洞，需要尽快升级

IBM Cloud Pak® for Data 是IBM公司一个全面集成的数据和 AI 平台，能够为企业提供现代化的方式来收集、组织和分析数据，从而将 AI 注入整个组织。该平台基于 Red Hat® OpenShift® 简化的混合云基础而构建，充分利用了其底层资源和基础架构优化及管理。该解决方案完全支持 Amazon Web Services (AWS)、Azure、Google Cloud、IBM Cloud® 等多云环境和私有云部署。

Watson Discovery 是IBM一种屡获殊荣的企业搜索和 AI 搜索技术，也是业界顶尖的人工智能搜索和洞察产品。在分析企业数据中的趋势和关系时，检索问题的特定答案。Watson Discovery 应用了机器学习中的最新突破，包括自然语言处理功能，并且可以轻松地接受行业语言训练。与竞争对手不同，Watson Discovery 可以部署在任何云端或本地环境中。

不过根据8月29日IBM安全公告显示，IBM人工智能搜索数据平台发现高危漏洞，需要尽快升级，以下是漏洞详情：

漏洞详情

1.CVEID： CVE-2020-9480 CSS评分：9.8 高危

来源：

https://www.ibm.com/support/pages/node/6323691

用于IBM Cloud Pak for Data的IBM Watson Discovery包含易受攻击的Apache Spark版本。Apache Spark可能允许远程攻击者在系统上执行任意命令，这是由在独立主机上启用身份验证时的漏洞引起的。通过将特制的RPC发送给主服务器，攻击者可以利用此漏洞在主机上执行任意shell命令。

2.CVEID：CVE-2020-14195 ，CVE-2020-10673，CVE-2020-11113 等(包含13个高危漏洞，具体见官网)

CSS评分：9.8 高危

来源：

https://www.ibm.com/support/pages/node/6323689

用于IBM Cloud Pak for Data的IBM Watson Discovery包含FasterXML jackson-databind的易受攻击的版本。

FasterXML jackson-databind(FasterXMLjackson-databind是一个简单基于Java应用库，Jackson可以轻松的将Java对象转换成json对象和xml文档，同样也可以将json、xml转换成Java对象)可能允许远程攻击者在系统上执行任意代码，这是由于不安全的反序列化引起的。通过发送特制的输入，攻击者可以利用此漏洞在系统上执行任意代码。

3.CVEID： CVE-2020-14583 CSS评分：8.3 高危

来源：

https://www.ibm.com/support/pages/node/6323257

用于IBM Cloud Pak for Data的IBM Watson Discovery包含易受攻击的Java版本。 Java SE中与库组件相关的未指定漏洞可能允许未经身份验证的攻击者造成较低的机密性影响，较低的完整性影响以及不影响可用性。

4.CVEID： CVE-2020-7919 CSS评分：7.5 高

用于IBM Cloud Pak for Data的IBM Watson Discovery包含Go的易受攻击版本，容易遭到拒绝服务。通过发送格式不正确的X.509证书，远程攻击者可以利用此漏洞导致系统崩溃。

5.CVEID： CVE-2020-15586 CSS评分：7.5 高

用于IBM Cloud Pak for Data的IBM Watson Discovery包含Go的易受攻击版本。 Go由于某些net / http服务器中的数据争用，Go容易受到拒绝服务的攻击。通过发送特制的HTTP请求，远程攻击者可以利用此漏洞导致拒绝服务状况。

6.CVEID： CVE-2019-9512 CSS评分：7.5 高

用于IBM Cloud Pak for Data的IBM Watson Discovery包含Go的易受攻击版本。多个由于Ping Flood攻击，供应商容易受到拒绝服务的攻击。通过向HTTP / 2对等方发送连续的ping，远程攻击者可能会消耗过多的CPU资源。

受影响产品和版本

IBM Watson Discovery 2.0.0-2.1.3

解决方案

升级到IBM Watson Discovery 2.1.4可修复

查看更多漏洞信息 以及升级请访问官网：

https://www.ibm.com/blogs/psirt/

（免责声明：本网站内容主要来自原创、合作媒体供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。 ）

相关阅读