IBM DB2資料庫爆資料外洩漏洞，影響Windows版本

安全研究人員發現IBM DB2資料庫有一個共享記憶體漏洞，可導致資料被人讀取或發動阻斷服務（Denial of Service，DoS）攻擊，呼籲企業應儘速修補。

TrustWave研究人員Martin Rakhmanov 6月揭露思科WebEx Meetings Windows版用戶端一項漏洞，讓駭客讀取記憶體而取得驗證用的符記、用戶名稱，進而存取視訊會議內容及密碼。而這問題也影響IBM DB2，特別是在trace工具（trace facility）上。

IBM DB2是一組混合式資料管理產品，可用來分析和管理企業的結構和非結構化資料。DB2的trace工具主要是提供DB2技術支援人員診斷資料庫之用，可紀錄、追蹤DB2作業資訊，包括函式及相關參數值，並將這些資訊格式化成可讀取的檔案形式。

編號CVE-2020-4414的漏洞，是指該平臺忽略在IBM DB2 trace工具所用的共享記憶體加入明示的記憶體防護，這使得本機用戶得以讀寫記憶體區資料。攻擊者只要傳送惡意呼叫，就能開採這項漏洞而存取敏感資料，或是變更trace子系統的運作，導致DoS攻擊。

研究人員舉例，在Windows上，啟動Process Explorer或其他類似工具就能開啟DB2主要行程（process），寫個簡單console app即可按名稱找到並開啟記憶體區，倒出開頭的若干位元組，完全無需取得許可。他還示範了只要在記憶體區寫入不正確的資料，即可引發DoS攻擊。

本漏洞影響Windows版DB2 （包括DB2 Connect Server）9.7、 10.1、10.5、11.1和 11.5版，但大型主機及z/OS版DB2則不受影響。

在其通報下，IBM已在6月30日發布安全更新，修補CVE-2020-4414及其他安全漏洞。

編按：針對此事，我們也向臺灣IBM詢問用戶現況，他們表示，採用Windows平臺的客戶都已收到更新通知。