PT.

Sentrasolusi Indonesia Progress Report Hasil Pentest Aplikasi MAXIMO

PT. XXXXXXXXXXXX Indonesi

Produk dan versi produk yang terpengaruh

Beberapa produk yang terdampak :
· Maximo Asset Management 7.5, 7.1
· Maximo Asset Management Essentials 7.5, 7.1
· Maximo for Government 7.5, 7.1
· Maximo for Nuclear Power 7.5, 7.1
· Maximo for Transportation 7.5, 7.1
· Maximo for Life Sciences 7.5, 7.1
· Maximo for Oil and Gas 7.5, 7.1
· Maximo for Utilities 7.5, 7.1
· SmartCloud Control Desk 7.5
· Tivoli Asset Management for IT 7.2, 7.1
· Tivoli Service Request Manager 7.2, 7.1
· Change and Configuration Management Database 7.2, 7.1

Kemungkinan pada versi sebelumnya terdapat beberapa fitur atau produk yang
tidak di support juga akan terpapar oleh kerentanan ini. Remediasi tidak dilakukan
untuk versi produk yang sudah tidak lagi disupport. Pada kondisi tersebut IBM
telah merekomendasikan agar pelanggan yang menjalankan versi yang tidak di
support lagi agar melakukan upgrade ke versi terbaru yang benar-benar masih
disupport agar mdapat melakukan remediasi atas kerentanan tersebut.

Remediasi/Perbaikan
Kebijakan terhadap vendor :
Solusi yang disarankan adalah mengunduh file Interim Fix atau Fix Pack yang sesuai
dari Fix Central dan mengajukan permohonan untuk setiap produk yang terdampak
sesegera mungkin. Silakan lihat table 6.1 di bawah untuk informasi tentang perbaikan
yang dapat dilakukan terhadap setiap produk, versi, dan rilis. Selanjutnya agar
mengikuti semua petunjuk instalasi yang dituangkan dalam dokumentasi 'readme'
dimana dokumen ini telah tersedia dalam setiap paket perbaikan atau perbaikan yang
bersifat sementara.

Tabel 6.1.
Untuk Maximo Asset Management, Maximo Asset Management Essentials, Maximo untuk
Government, Maximo bagi Transportasi, Maximo Oil and Gas, and Maximo dan Utilities:

Vulnerability Target
VRMF Fix Pack or Interim Fix Download
APARs Availability
7.5.0.5 Maximo 7.5.0.5 Interim Fix: IV49268 2/15/2014 FixCentral
7.5.0.5-TIV-MAM-IFIX003 or latest when
Interim Fix available available
7.5.0.3 Maximo 7.5.0.3 Interim Fix: IV49268 Available FixCentral
7.5.0.3-TIV-MAM-IFIX014 or latest now
Interim Fix available

Page | 80
 PT. Sentrasolusi Indonesia Progress Report Hasil Pentest Aplikasi MAXIMO
PT. XXXXXXXXXXXX Indonesi

7.1.1.12 Maximo 7.1.1.12 Interim Fix: IV49268 1/31/2014 Contact IBM

MBS_71112_LAFIX.yyyymmdd- Support
bbbb or latest Interim Fix available
after 1/31/2014

Tabel 6.2.
Bagi pengguna SmartCloud Control Desk, Tivoli Asset Management untuk IT, Tivoli Service
Request Manager, Maximo Service Desk, dan Change dan Configuration Management
Database:

Vulnerability Target
VRMF Fix Pack or Interim Fix Download
APARs Availability
7.5.0.5 SCCD 7.5.0.5 Interim Fix: IV49268 2/15/2014 Contact IBM
7.5.0.5-TIV-MAM-IFIX003 or latest Support
Interim Fix available
7.5.0.3 SCCD 7.5.0.3 Interim Fix: IV49268 Available Contact IBM
7.5.0.3-TIV-MAM-IFIX014 or latest now Support
Interim Fix available
7.1.1.12 MBS 7.1.1.12 Interim Fix: IV49268 1/31/2014 Contact IBM
MBS_71112_LAFIX.yyyymmdd- Support
bbbb or latest Interim Fix available
after 1/31/2014

Karena ancaman yang ditimbulkan oleh serangan dapat merusak system dan
terdampak secara langsung, maka disarankan oleh IBM agar para pengguna
menerapkan perbaikan sesegera mungkin.

Solusi yang disarankan dan Mitigasi yang dilakukan

Sampai dengan telah dilakukannya perbaikan, dimungkinkan untuk dapat mengurangi
risiko serangan yang berhasil dengan membatasi protokol jaringan yang diperlukan
oleh serangan. Untuk serangan yang memerlukan hak istimewa tertentu atau akses ke
paket tertentu, agar dilakukan penghapusan hak istimewa tersebut atau kemampuan
untuk mengakses paket dari pengguna yang tidak memiliki hak istimewa, dapat
membantu mengurangi risiko serangan yang berhasil.

Kedua pendekatan tersebut kemungkinan besar dapat merusak fungsionalitas dari

aplikasi, sehingga sangat disarankan agar pelanggan melakukan uji perubahan pada
sistem non-produksi. Tidak ada pendekatan yang harus dianggap sebagai solusi jangka
panjang karena tidak ada yang memperbaiki masalah yang mendasarinya.

Page | 81