【安全资讯】IBM Cognos Analytics发现严重安全漏洞CVE-2024-51466

概要：

IBM近日披露了其Cognos Analytics平台中的两处严重漏洞，可能危及敏感数据和系统完整性。这些漏洞分别被标识为CVE-2024-51466和CVE-2024-40695，凸显了商业智能环境中的安全风险。Cognos Analytics作为一个集成的商业智能套件，广泛应用于全球企业的决策和绩效跟踪，但其受欢迎程度使其成为复杂攻击的目标。

主要内容：

CVE-2024-51466是一个表达式语言（EL）注入漏洞，CVSS评分为9.0，允许远程攻击者执行特制的EL语句。这可能导致敏感信息泄露、内存资源消耗过多，甚至服务器崩溃。IBM指出，攻击者可以利用这一漏洞暴露敏感信息，消耗内存资源，或在使用特制EL语句时导致服务器崩溃。

第二个漏洞CVE-2024-40695涉及Web界面中的文件验证不足，使得特权用户能够上传恶意文件。这些文件一旦被执行，可能威胁系统完整性，并可能成为进一步攻击的载体。IBM警告称，攻击者可以利用这一缺陷上传恶意可执行文件，从而对系统造成更大威胁。

IBM已发布补丁，并强烈建议受影响的用户立即更新至Cognos Analytics 12.0.4 Interim Fix 1或11.2.4 FP5，以降低风险。由于目前没有可行的替代方案或缓解措施，及时修复显得尤为重要。