IBM发布Tivoli存储管理安全漏洞补丁

IBM近日发布关于Tivoli存储管理漏洞补丁，笔者了解到此漏洞可以被攻击者利用来获取用户敏感数据。

　　IBM发布的安全公告显示，本次发布的安全漏洞补丁修复了IBM的Tivoli 存储管理(TSM)的客户端，影响网络客户端可视化界面的CAD(Client Acceptor Daemon，客户端接受程序)管理及服务初始化预处理操作。其中一漏洞是，客户端接受程序(CAD)可能发生缓冲区溢出漏洞。攻击者可以利用这个漏洞去入侵操作系统或运行恶意代码。另一个漏洞是，在某些情况下使用服务初始化预处理时，可能被未授权攻击者获取客户端数据。

　　Tivoli存储管理的两个安全漏洞发生在如下客户端操作：网络客户端操作界面使用CAD操作，使用CAD备份客户端档案，以及备份服务初始化的预处理过程中。

　　IBM表示其他的如传统客户端初始化操作，TSM服务都不存在这样的漏洞，IBM及时发布了客户端更新程序来解决所有已发布版本中存在的漏洞。

　　IBM建议其用户除非安装了安全补丁，否则不要使用服务初始化预定义，不要使用CAD程序，以及不要使用网络客户端。用户应尽量在没有升级前使用传统的操作方式来代替CAD管理。

　　同时IBM也修复了IBM Rational ClearQuest中存在的类似漏洞，这些漏洞可以被攻击者利用来破坏数据。这些漏洞对Microsoft SQL Server 和基于IBM DB2的 ClearQuest 数据库同样存在威胁。BM已经发布了一款测试修复工具，来有效的支持Rational ClearQuest。

　　由于ClearQuest漏洞只能存在本地攻击的可能性，安全漏洞检测机构只将其标定为低安全级别。