Falta de autorización en Jazz Team Server de IBM

Recursos afectados:

Todas las versiones con soporte comprendidas entre:

• 7.0.2 a 7.0.2 iFix035

• 7.0.3 a 7.0.3 iFix018

• 7.1.0 a 7.1.0 iFix004

de los siguientes productos:

• IBM Engineering Lifecycle Management – Jazz Foundation

• IBM Engineering Test Management

• IBM Engineering Workflow Management

• IBM Engineering Requirements Management DOORS Next

• IBM Engineering Lifecycle Optimization – Engineering Insights

• IBM Engineering Systems Design Rhapsody – Model Manager

• IBM Jazz Reporting Service

• Global Configuration Management

Detalle:

La vulnerabilidad, de severidad crítica, afecta a Jazz Team Server de IBM. Si es explotada, podría permitir a un atacante actualizar los ficheros de configuración del servidor, posibilitando la ejecución de acciones no autorizadas y provocando una denegación de servicio (DoS).

Descripción:

La vulnerabilidad se origina por una falta de autorización adecuada en Jazz Team Server, que podría ser aprovechada por un atacante remoto no autenticado para modificar archivos de configuración del servidor.
Esto permitiría realizar acciones no autorizadas e incluso interrumpir el servicio.

Solución:

Actualizar los productos a las siguientes versiones o posteriores:

• Para la versión 7.0.2, actualizar a 7.0.2 iFix035-sec o posterior.

• Para la versión 7.0.3, actualizar a 7.0.3 iFix018-sec o posterior.

• Para la versión 7.1.0, actualizar a 7.1.0 iFix004-sec o posterior.

Adicionalmente, se recomienda realizar el siguiente ajuste de configuración:
En la ruta “Jazz Team Server (JTS) > Server Administration > Advanced property page”, establecer el parámetrosetup.isRegistrationHandlerServiceOpen en False y guardar los cambios.