云安全日报200927：IBM企业私有云方案发现重要漏洞，需要尽快升级

IBM Cloud Private是IBM公司一个变革性的私有云平台，可从受防火墙保护的数据中心的安全性中提供公共云的优势。它是一个基于Kubernetes的容器架构构建的集成云平台，旨在帮助快速创建新的云原生应用程序，并在客户端控制的，高度安全的环境中现代化现有工作负载。IBM Cloud Private允许开发人员使用内置的开发工具和服务，同时使运营团队可以访问企业级管理工具，以帮助保持平台的安全性和最新性。

不过，9月26日IBM发布了安全公告更新，IBM Cloud Private爆出重要漏洞，需要尽快升级。以下是漏洞详情：

漏洞详情

1.第三方条目： 183560CVSS评分： 7.5 高

由于Node.js lodash（lodash是一个一致性、模块化、高性能的 JavaScript 实用工具库）工具库中存在拒绝服务漏洞，IBM Cloud Private容易受到Node.js lodash漏洞的攻击。

受影响产品和版本

IBM Cloud Private 3.2.1 持续交付(CD)版本

IBM Cloud Private 3.2.2 持续交付(CD)版本

解决方案

对于IBM Cloud Private 3.2.1，应用八月修订包：

IBM Cloud Private 3.2.1.2008

对于IBM Cloud Private 3.2.2，应用八月修订包：

IBM Cloud Private 3.2.2.2008

对于IBM Cloud Private 3.1.0、3.1.1、3.1.2、3.2.0：

升级到最新的持续交付（CD）更新软件包，IBM Cloud Private 3.2.2。

如果需要，可以在CD更新包之间提供单个产品修复程序，以解决问题。联系IBM支持以获取帮助

2. CVEID： CVE-2019-1547CVSS评分： 5.5 中

在计算机网络上，OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听，同时确认另一端连接者的身份。这个包广泛被应用在互联网的网页服务器上。

在OpenSSL EC组中，通常总是存在一个辅助因子，并且该辅助因子用于抗侧通道的代码路径中。但是，在某些情况下，可以使用显式参数（而不是使用命名曲线）来构造组。在那些情况下，这样的基团可能不存在辅因子。即使所有参数都匹配已知的命名曲线，也会发生这种情况。如果使用这样的曲线，则OpenSSL会退回到非旁通道抗性代码路径，这可能会导致ECDSA签名操作期间的完全密钥恢复。这些安全漏洞会影响IBM Cloud Private-OpenSSL

3. CVEID： CVE-2019-1549CVSS评分： 3.7 中低

OpenSSL 1.1.1引入了重写的随机数生成器（RNG）。旨在在fork（）系统调用时提供保护，以确保父进程和子进程不会共享相同的RNG状态。但是，默认情况下未使用此保护，存在的安全漏洞会影响IBM Cloud Private-OpenSSL。此问题的部分缓解措施是，高精度计时器的输出被混入RNG状态，因此父子进程共享状态的可能性大大降低。如果应用程序已经使用OPENSSL_INIT_ATFORK显式调用OPENSSL_init_crypto（），则根本不会发生此问题。

4.CVEID： CVE-2019-1563CVSS评分： 3.7 中低

在攻击者收到解密尝试成功或失败的自动通知的情况下，攻击者在发送大量要解密的消息后，可以恢复CMS / PKCS7传输的加密密钥或使用Bleichenbacher填充oracle攻击解密使用公共RSA密钥加密的任何RSA加密消息。这些安全漏洞会影响IBM Cloud Private-OpenSSL。如果应用程序使用证书以及CMS_decrypt或PKCS7_decrypt函数的RSA私钥来选择要解密的正确收件人信息，则应用程序不会受到影响。

受影响的产品和版本

IBM Cloud Private 3.2.0 持续交付(CD)版本

IBM Cloud Private 3.2.1 持续交付(CD)版本

解决方案

对于IBM Cloud Private 3.2.0，请应用11月修订包：

IBM Cloud Private 3.2.0.1911修订包

对于IBM Cloud Private 3.2.1，请应用11月修订包：

IBM Cloud Private 3.2.1.1911修订包

更新以包括针对Logging和Mongodb的其他修复

对于IBM Cloud Private 3.2.1，请应用八月修订包：

IBM Cloud Private 3.2.1.2008修订包

对于IBM Cloud Private 3.2.2，应用八月修订包：

IBM Cloud Private 3.2.2.2008修订包

查看更多漏洞信息 以及升级请访问官网：

https://www.ibm.com/blogs/psirt/