According to its self-reported version, the IBM BigFix Server running on the remote host is version 9.1.x prior to 9.1.1275.0. It is, therefore, affected by multiple vulnerabilities :

  - A reflected cross-site scripting (XSS) vulnerability     exists in the BES gather function due to improper     validation of input before returning it to users. An     unauthenticated, remote attacker can exploit this, via a     specially crafted URL, to execute arbitrary script code     in a user's browser session. (CVE-2016-0269)

  - A reflected cross-site scripting vulnerability exists     when handling .beswrpt files due to improper validation     of input before returning it to users. An     unauthenticated, remote attacker can exploit this, via a     specially crafted URL, to execute arbitrary script code     in a user's browser session. (CVE-2016-0293)

IBM BigFix was formerly known as Tivoli Endpoint Manager, IBM Endpoint Manager, and IBM BigFix Endpoint Manager.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

According to its self-reported version, the IBM BigFix Server running on the remote host is version 9.2.x prior to 9.2.7.53. It is, therefore, affected by a reflected cross-site scripting (XSS) vulnerability that exists in the BES gather function due to improper validation of input before returning it to users. An unauthenticated, remote attacker can exploit this, via a specially crafted URL, to execute arbitrary script code in a user's browser session.

IBM BigFix was formerly known as Tivoli Endpoint Manager, IBM Endpoint Manager, and IBM BigFix Endpoint Manager.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

自己報告されたバージョンによると、リモートホストで実行されている IBM BigFix Server のバージョンは、9.1.1275.0 より前の 9.1.x です。したがって、以下の複数の脆弱性による影響を受けます：

- ユーザーに戻す前の入力検証が不適切なために、BES 収集関数に折り返し型クロスサイトスクリプティング（XSS）の脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用して、特別に細工された URL を通じて、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2016-0269）

- ユーザーに戻す前の入力検証が不適切なために、.beswrpt ファイルを処理する際に、折り返し型クロスサイトスクリプティングの脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用して、特別に細工された URL を通じて、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2016-0293）

IBM BigFix は、以前は Tivoli Endpoint Manager、IBM Endpoint Manager、および IBM BigFix Endpoint Manager として知られていました。

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

自己報告されたバージョンによると、リモートホストで実行されている IBM BigFix Server のバージョンは、9.2.7.53 より前の 9.2.x です。このため、入力をユーザーに戻す前の検証が不適切なために、BES 収集機能に存在する折り返し型クロスサイトスクリプティング（XSS）の脆弱性の影響を受けます。認証されていないリモートの攻撃者がこれを悪用して、特別に細工された URL を通じて、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。

IBM BigFix は、以前は Tivoli Endpoint Manager、IBM Endpoint Manager、および IBM BigFix Endpoint Manager として知られていました。

Nessus は、この問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

根據其自我報告的版本，遠端主機上執行的 IBM BigFix Server 是比 9.1.1275.0 版舊的 9.1.x 版。因此，會受到多個弱點影響：

- BES 收集函式中存在一個反射式跨網站指令碼 (XSS) 弱點，這是因為未正確驗證輸入便將其傳回給使用者所導致。未經驗證的遠端攻擊者可惡意利用此瑕疵，透過特製的 URL，在使用者的瀏覽器工作階段內執行任意指令碼。(CVE-2016-0269)

- 在處理 .beswrpt 檔案時存在一個反射式跨網站指令碼弱點，這是因為未正確驗證輸入便將其傳回給使用者所導致。未經驗證的遠端攻擊者可惡意利用此瑕疵，透過特製的 URL，在使用者的瀏覽器工作階段內執行任意指令碼。(CVE-2016-0293)

IBM BigFix 之前稱為 Tivoli Endpoint Manager、IBM Endpoint Manager 和 IBM BigFix Endpoint Manager。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其自我报告的版本号，远程主机上运行的 IBM BigFix Server 是低于 9.1.1275.0 的版本 9.1.x。因此，它受到多种漏洞的影响：

- BES 收集函数中存在一个反射型跨站脚本本 (XSS) 漏洞，这是因为未正确验证输入便将其返回给用户所导致。未经认证的远程攻击者可利用此漏洞，通过特别构建的 URL 在用户的浏览器会话中执行任意脚本代码。(CVE-2016-0269)

- 处理 .beswrpt 文件时存在一个反射型跨站脚本漏洞，这是因为未正确验证输入便将其返回给用户所导致。未经认证的远程攻击者可利用此漏洞，通过特别构建的 URL 在用户的浏览器会话中执行任意脚本代码。(CVE-2016-0293)

IBM BigFix 之前的名称为 Tivoli Endpoint Manager、IBM Endpoint Manager 和 IBM BigFix Endpoint Manager。

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

根據其自我報告的版本，遠端主機上執行的 IBM BigFix Server 是比 9.2.7.53 版舊的 9.2.x 版。因此受到存在於 BES 收集函式中的一個反映式跨網站指令碼 (XSS) 弱點影響，這是因為未正確驗證輸入便將其傳回給使用者所導致。未經驗證的遠端攻擊者可惡意利用此瑕疵，透過特製的 URL，在使用者的瀏覽器工作階段內執行任意指令碼。

IBM BigFix 之前稱為 Tivoli Endpoint Manager、IBM Endpoint Manager 和 IBM BigFix Endpoint Manager。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

根据其自我报告的版本号，远程主机上运行的 IBM BigFix Server 为低于 9.2.7.53 的 9.2.x 版。因此，由于未正确验证输入便将其返回给用户，它受到 BES 收集函数中的一个反射型跨站脚本 (XSS) 漏洞影响。未经认证的远程攻击者可利用此漏洞，通过特别构建的 URL 在用户的浏览器会话中执行任意脚本代码。

IBM BigFix 之前的名称为 Tivoli Endpoint Manager、IBM Endpoint Manager 和 IBM BigFix Endpoint Manager。

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

ID	Name	Product	Family	Published	Updated	Severity
93223	IBM BigFix Server 9.1.x < 9.1.1275.0 Multiple XSS	Nessus	Web Servers	8/30/2016	11/14/2019	medium
93224	IBM BigFix Server 9.2.x < 9.2.7.53 BES Gather XSS	Nessus	Web Servers	8/30/2016	11/14/2019	medium
93223	IBM BigFix Server 9.1.x < 9.1.1275.0 の複数の XSS	Nessus	Web Servers	8/30/2016	11/14/2019	medium
93224	IBM BigFix Server 9.2.x < 9.2.7.53 の BES 収集の XSS	Nessus	Web Servers	8/30/2016	11/14/2019	medium
93223	IBM BigFix Server 9.1.x < 9.1.1275.0 多個 XSS 問題	Nessus	Web Servers	8/30/2016	11/14/2019	medium
93223	IBM BigFix Server 9.1.x < 9.1.1275.0 多个 XSS	Nessus	Web Servers	8/30/2016	11/14/2019	medium
93224	IBM BigFix Server 9.2.x < 9.2.7.53 BES 收集 XSS	Nessus	Web Servers	8/30/2016	11/14/2019	medium
93224	IBM BigFix Server 9.2.x < 9.2.7.53 BES 收集 XSS	Nessus	Web Servers	8/30/2016	11/14/2019	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium