CVE-2018-5435

Podatności dotyczą komponentów klienckich — TIBCO Spotfire Client oraz TIBCO Spotfire Web Player Client — wchodzących w skład kilku produktów z rodziny TIBCO Spotfire. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia po stronie atakującego, lecz wymaga interakcji użytkownika (UI:R), co sugeruje scenariusz, w którym ofiara musi wykonać określoną akcję (np. otworzyć spreparowany plik lub odwiedzić złośliwą stronę). Szczegółowy mechanizm techniczny nie został ujawniony w opisie producenta. Podatności mogą być wykorzystane do wykonania dowolnego kodu w kontekście zaatakowanej aplikacji klienckiej.

Atakujący może wykonać dowolny kod na maszynie użytkownika uruchamiającego podatną wersję klienta TIBCO Spotfire, co może prowadzić do pełnej kompromitacji poufności, integralności oraz dostępności systemu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o wersjach naprawionych dostępne są w biuletynie bezpieczeństwa TIBCO z dnia 26 czerwca 2018 r. pod adresem: https://www.tibco.com/support/advisories/2018/06/tibco-security-advisory-june-26-2018-tibco-spotfire-2018-5435

TIBCO Spotfire Analyst: wersje do 7.8.0, 7.9.0, 7.9.1, 7.10.0, 7.10.1, 7.11.0 oraz 7.12.0; TIBCO Spotfire Analytics Platform for AWS Marketplace: wersje do 7.12.0; TIBCO Spotfire Deployment Kit: wersje do 7.8.0, 7.9.0, 7.9.1, 7.10.0, 7.10.1, 7.11.0, 7.12.0; TIBCO Spotfire Desktop: wersje do 7.8.0, 7.9.0, 7.9.1, 7.10.0, 7.10.1, 7.11.0, 7.12.0; TIBCO Spotfire Desktop Language Packs: wersje do 7.8.0, 7.9.0, 7.9.1, 7.10.0, 7.10.1, 7.11.0

Producent opublikował advisory 26 czerwca 2018 r. Szczegółowy mechanizm techniczny podatności nie został publicznie ujawniony przez TIBCO Software Inc.