IBM DataRisk Manager |多个安全缝隙公告

颁布功夫 2020-04-23

0x00 缝隙概述


产品

CVE ID

类 型

缝隙等级

远程利用

影响领域

IBM Data Risk Manager

暂无

AB

严重

是

IBM Data Risk Manager 2.0.1 to 2.0.3

IBM Data Risk Manager 2.0.4 to 2.0.6 可能受影响

暂无

CI

严重

是

暂无

IDP

严重

是

暂无

AFD

高危

是


0x01 缝隙详情


OG东方厅·(中国大陆)


Agile信息安全公司的钻研人员Pedro Ribeiro 4月21日在GitHub上公开披露了四个IBM 0day缝隙。。。这些缝隙影响IBM DataRisk Manager（IDRM），，，IDRM是一款企业安全工具，，，聚合来自缝隙扫描工具和其他风险治理工具的信息，，，以便治理员调查安全问题。。。

在分析IDRM Linux虚构设备时，，，Ribeiro发现了4个0day：身份认证谬误缝隙、、、号令注入缝隙、、、不安全的默认密码缝隙以及肆意文件下载缝隙。。。这些缝隙能够单独使用也能够组合使用，，，组合使用前三个缝隙能够使攻击者以root权限远程执行代码，，，组合使用第一个和第四个缝隙能够使未授权的攻击者下载肆意文件。。。

缝隙的披露者Ribeiro暗示，，，IDRM是处置敏感信息的企业安全产品，，，若是其遭到攻击会导致公司利益严重受损，，，因而在IBM回绝接受缝隙汇报后选择将其颁布出来。。。目前，，，IBM公司修复了IDRM2.0.1及更高版本中的肆意文件下载缝隙和号令注入缝隙，，，并且正在调查身份验证绕过缝隙。。。

（1）身份认证谬误缝隙源于IDRM在/ albatross / saml / idpSelection有一个API将攻击者提供的ID与系统上的有效用户有关联。。。未经身份验证的攻击者可利用该缝隙重置任何已有账户密码，，，蕴含治理员密码。。。

（2）号令注入缝隙源于IDRM的/albatross/restAPI/v2/nmap/run/scan中的某个API允许用户使用nmap剧本执行网络扫描，，，若是该剧本文件由攻击者上传，，，那么就可能被附加恶意号令。。。

（3）默认密码缝隙产生的原因在于IDRM虚构设备中的治理用户是“a3user”，，，默认密码为“idrm”。。。该用户被允许通过SSH登录和运行sudo号令。。。固然IDRM强制web接口的治理员用户（“admin”）在初次登录时批改密码，，，但是却没有要求“a3user”用户批改密码。。。

（4）肆意文件下载缝隙源于/albatross/eurekaservice/fetchLogFiles中的某个API允许经过身份验证的用户从系统下载日志文件。。。但是，，，logFileNameList参数蕴含一个目录遍历缝隙，，，攻击者可利用该缝隙从系统下载肆意文件。。。


0x02 措置建议


号令注入缝隙和肆意文件下载缝隙已修复，，，将IDRM升级到2.0.4版本即可。。。下载地址：https://www.ibm.com/software/passportadvantage/pacustomers.html；

默认密码缝隙，，，IBM建议凭据颁布的装置指南在初次装置时重置。。。参考链接：https://www.ibm.com/support/knowledgecenter/en/SSJQ6V_2.0.6/com.ibm.idrm.doc/install/tsk/tsk_installguide_idrm_configuration.html；

身份认证谬误缝隙临时没有修复，，，请实时关注厂商信息：https://www.ibm.com/support/pages/node/6195705。。。


0x03 有关新闻


https://www.zdnet.com/article/security-researcher-discloses-four-ibm-zero-days-after-company-refused-to-patch/#ftag=RSSbaffb68


0x04 参考链接


https://github.com/pedrib/PoC/blob/master/advisories/IBM/ibm_drm/ibm_drm_rce.md


0x05 功夫线


2020-04-21 GitHub颁布缝隙

2020-04-23 VSRC颁布缝隙公告



OG东方厅·(中国大陆)
OG东方厅·(中国大陆)