IBM Spectrum Discover是IBM公司一款现代化元数据管理软件，它可以为EB级的非结构化数据存储提供数据洞察。它可以快速抓取、整理和索引数十亿个文件和对象的元数据，然后在这些数据源之上提供一个高效的、丰富的元数据索引库和集中管理层。这将极大的改进大数据分析过程，加快关键研究的速度，提高存储的经济性，降低风险，从而创造企业竞云安争优势。

3月28日,IBM发布了安全更新,修复了IBM Spectrum Discover中发现的执行任意代码重要漏洞。以下是漏洞详情：

漏洞详情

来源: https://www.ibm.com/support/pages/node/6566889

1.CVE-2020-7720 CVSS评分：9.8 严重程度:严重

Node.js node-forge 模块可能全日允许远程攻击者在系统上执行任意代码，这是由 util.setPath 函数中的原型污染缺陷引起的。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

2.CVE-2021-43616 CVSS评分：9.8 严重程度:严重

NPM 可能允许远程攻击者在系统上执行任意代码，这是由于安装持续进行而导致的问题，而 package-lock.json 中的依赖报2信息与 ci 命令中的 package.json 不同。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

3.CVE-2020-15366 CVSS评分：9.8 严重程度:严重

Ajv（又名另一个 JSON Schema Validator）可能允许远程攻击者在系统上执行任意代码，这是由 ajv.validate 函数中的原型污染缺陷引起的。通过发送20特制数据，攻击者可以利用此漏洞在系统上执行任意代码。

4.CVE-2020-13822 CVSS评分：9.8 严重程度:严重

Node.js 的 Elliptic 包可能允许远程攻击者在系统上获得提升的权限。通过使用编码变化、前导 '\0' 字节或整数溢出，攻击者可以利用此漏洞来允许 ECDSA 签名延展性和系统上的提升权限。

5.CVE-2020-7751 CVSS32评分：9.8 严重程度:严重

Pathval 可能允许远程攻击者在系统上执行由原型污染缺陷引起的任意代码。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

6.CVE-2020-8116 CVSS评分：9.8 严重程度:严重

Node.js dot-prop 可能允许远程攻击者在系统上执行由原型污染引起的任意代码。通过发送特制请求，攻击者可以利用9：此漏洞在系统上执行任意代码或导致拒绝服务。

7.CVE-2019-20920 CVSS评分：9.8 严重程度:严重

Node.js 把手模块可能允许远程攻击者在系统上执行任意代码，这是由于查找帮助程序对模板的不正确验证引起的。通过发送特制模板，攻击者可以利用此漏洞在系统上执行任意代码。

8.CVE-2019-19919 CVSS评分：9.8 严重程度:严重

NIBode.js 把手可能允许远程攻击者在系统上执行由原型污染缺陷引起的任意代码。通过发送特制的有效载荷，攻击者可以利用此漏洞在系统上执行任意代码。

9.CVE-2020-7608 CVSS评分：9.8 严重程度:严重

Node.js yargs-parser 模块可能允许远程攻击者在系统上执行任意代码，这是由原型污染缺陷引起的。通过使用 __proto__ 有M现效负载添加或修改 Object.prototype 的属性，攻击者可以利用此漏洞在系统上执行任意代码。

10.CVE-2020-7660 CVSS评分：9.8 严重程度:严重

serialize-javascript 可能允许远程攻击者在系统上执行任意代码，这是由 index.js 中的 deleteFunctions 函数中的缺陷引起的。通过发送特制请求，攻击者可代元以利用此漏洞在系统上注入和执行任意代码。

11.CVE-2021-3918 CVSS评分：9.8 严重程度:严重

Json-schema 可能允许远程攻击者在系统上执行任意代码，这是由于对对象原型属性的不当控制修改造成的。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

12.CVE-2020-1747 CVSS评分：9.8 严重程度:严重

PyYA数据ML 可能允许远程攻击者在系统上执行任意代码，这是由于通过 full_load 方法或使用 FullLoader 加载程序处理不受信任的 YAML 文件时发生的错误引起的。通过滥用 python/object/new 构造函数，攻击者可以利用此漏洞在系统上执行任意代码。

13.CVE-2019-20477 CVSS评分：9.8 严重程度:严重

PyYAML 可能允管理许远程攻击者在系统上执行任意代码，原因是对 load 和 load_all 函数的限制不足。通过发送特制请求，攻击者可以利用此漏洞在系统上执行任意代码。

14.CVE-2013-7459 CVSS评分：9.8 严重程度:严重

PyCrypto 容易受到基于堆的缓冲区溢出的影响，这是由 block_templace.c 中的 ALGnew 函数进行的不正确边界检查引软件起的。通过对 cryptmsg.py 使用特制的 iv 参数，远程攻击者可以溢出缓冲区并在系统上执行任意代码或导致应用程序崩溃。

15.CVE-2020-7699 CVSS评分：9.8 严重程度:严重

express-fileupload 可能允许远程攻击者在系统上执行任意代码，这是由启用parseNested选项时的原型污染缺陷引起的。通过发送特制的 HT发现TP 请求，攻击者可以利用此漏洞执行任意代码或在系统上造成拒绝服务状况。

受影响产品和版本

上述漏洞影响部署了IBM Spectrum Discover 2.0.4, 2.0.4.1, 2.0.4.2, 2.0.4.3, 2.0.4.4版本

解决方案

IBM Spectrum Discover升级至2.0.4.5升版本可修复。

查看更多漏洞信息 以及升级请访问官网：

h执行ttps://www.ibm.com/blogs/psirt/

• ·标签: 百度 AI时代 复合型人才 职级改革
• ·苹果拟收购计算机视觉初创公司 Prompt AI，进一步布局智能家居领域
• ·2022年二季度中国大陆云服务支出达73亿美元 阿里云占比34%
• ·Twitter重启纽约和旧金山办公室：开放一半工位
• ·美女议员AOC指控扎克伯格和Facebook对国会事件负有部分责任
• ·​微软 Fairwater AI 数据中心提前上线，算力再创新高
• ·Facebook首席商务官即将上任：主打广告业务 向桑德伯格汇报
• ·分析师：谷歌、Facebook等科技公司第四季度广告营收将迎来井喷
• ·标签: 爱理财的小羊 D基金公司 A产品 蚂蚁财富
• ·标签: 怪兽充电 蔡光渊 纳斯达克 共享充电
• ·标签: 牧原股份 生猪养殖 港股上市 正大集团
• ·美团发布 LongCat-Flash-Chat：560B 参数模型再创新高，智能体表现惊艳！
• ·标签: 越疆 六轴协作机器人 四轴协作机器人 具身智能
• ·如何防止我的模型过拟合？这篇文章给出了6大必备方法
• ·豆包大模型1.6-vision正式发布，对比上一代综合成本降低约50%
• ·Sora路线图重大更新:推出“角色客串”功能，Android版本即将上线