Vulnerability CVE-2015-7448 - CERT Civis.Net

Vulnerability Name:

CVE-2015-7448 (CCN-108203)

Assigned:

2015-09-29

Published:

2016-02-19

Updated:

2016-03-22

Summary:

SQL injection vulnerability in IBM Maximo Asset Management 7.1 through 7.1.1.13, 7.5.0 before 7.5.0.9 IFIX003, and 7.6.0 before 7.6.0.3 IFIX001; Maximo Asset Management 7.5.0 before 7.5.0.9 IFIX003, 7.5.1, and 7.6.0 before 7.6.0.3 IFIX001 for SmartCloud Control Desk; and Maximo Asset Management 7.1 through 7.1.1.13 and 7.2 for Tivoli IT Asset Management for IT and certain other products allows remote authenticated users to execute arbitrary SQL commands via unspecified vectors.

CVSS v3 Severity:

5.4 Medium (CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N)
4.7 Medium (Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N/E:U/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): Low User Interaction (UI): None
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): Low Integrity (I): Low Availibility (A): None

5.4 Medium (CCN CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N)
4.7 Medium (CCN Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N/E:U/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): Low User Interaction (UI): None
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): Low Integrity (I): Low Availibility (A): None

CVSS v2 Severity:

6.5 Medium (CVSS v2 Vector: AV:N/AC:L/Au:S/C:P/I:P/A:P)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Low Authentication (Au): Single_Instance
Impact Metrics:	Confidentiality (C): Partial Integrity (I): Partial Availibility (A): Partial

5.5 Medium (CCN CVSS v2 Vector: AV:N/AC:L/Au:S/C:P/I:P/A:N)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Low Athentication (Au): Single_Instance
Impact Metrics:	Confidentiality (C): Partial Integrity (I): Partial Availibility (A): None

Vulnerability Type:

Vulnerability Consequences:

Data Manipulation

References:

Source: MITRE
Type: CNA
CVE-2015-7448

Source: CONFIRM
Type: Vendor Advisory
http://www-01.ibm.com/support/docview.wss?uid=swg21974938

Source: CCN
Type: IBM Security Bulletin 1974938 (Maximo Asset Management)
IBM Maximo Asset Management is vulnerable to SQL injection (CVE-2015-7448)

Source: XF
Type: UNKNOWN
ibm-maximo-cve20157448-sql-injection(108203)

Vulnerable Configuration:

Configuration 1:

cpe:/a:ibm:change_and_configuration_management_database:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.1.1.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.1.1.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.1.1.4:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.1.1.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.1.1.6:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.2.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.2.0.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.2.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.2.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.2.1.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.2.1.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:change_and_configuration_management_database:7.2.1.4:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.6:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.7:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.8:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.9:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.10:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.11:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.12:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1.13:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.4:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.6:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.7:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.8:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5.0.9:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.6.0.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.6.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.6.0.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.6.0.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.4:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.6:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.7:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.8:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management_essentials:7.5.0.9:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_energy_optimization:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_government:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_government:7.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_government:7.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_life_sciences:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_life_sciences:7.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_life_sciences:7.6:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_nuclear_power:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_nuclear_power:7.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_nuclear_power:7.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_nuclear_power:7.5.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_nuclear_power:7.5.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_oil_and_gas:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_oil_and_gas:7.1.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_oil_and_gas:7.1.1.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_oil_and_gas:7.1.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_oil_and_gas:7.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_oil_and_gas:7.5.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_transportation:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_transportation:7.1.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_transportation:7.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_transportation:7.1.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_transportation:7.5.0.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_transportation:7.5.1.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_transportation:7.6.0.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_utilities:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_utilities:7.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_utilities:7.1.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_utilities:7.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_for_utilities:7.5.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.0.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.0.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.1.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.1.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.1.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.5.3.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.6:*:*:*:*:*:*:*

OR cpe:/a:ibm:smartcloud_control_desk:7.6.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_asset_management_for_it:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_asset_management_for_it:7.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_asset_management_for_it:7.2.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_asset_management_for_it:7.2.1.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_asset_management_for_it:7.2.1.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_asset_management_for_it:7.2.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_asset_management_for_it:7.2.2.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_asset_management_for_it:7.2.2.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.1.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.1.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.1.0.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.1.0.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.1.0.4:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.1.0.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2.0.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2.1.0:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2.1.2:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2.1.3:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2.1.4:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2.1.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:tivoli_service_request_manager:7.2.1.6:*:*:*:*:*:*:*

Configuration CCN 1:

cpe:/a:ibm:maximo_asset_management:7.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.5:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.1.1:*:*:*:*:*:*:*

OR cpe:/a:ibm:maximo_asset_management:7.6:*:*:*:*:*:*:*

Denotes that component is vulnerable