CVE-2013-3323

Privilege Escalation w IBM Maximo Asset Management — brak unieważniania sesji uwierzytelnienia

CVSS 9.8v3.1pub. 2020-02-18upd. 2024-11-21

W IBM Maximo Asset Management w wersjach 7.5, 7.1 i 6.2 istnieje podatność typu privilege escalation wynikająca z braku prawidłowego unieważniania sesji uwierzytelnienia przy użyciu WebSeal z Basic Authentication. Umożliwia to nieuprawnionemu użytkownikowi uzyskanie dostępu do zasobów, do których nie powinien mieć uprawnień.

▸ Pokaż oryginał (EN)

A Privilege Escalation Vulnerability exists in IBM Maximo Asset Management 7.5, 7.1, and 6.2, when WebSeal with Basic Authentication is used, due to a failure to invalidate the authentication session, which could let a malicious user obtain unauthorized access.

🤖 Analiza AI

Jak działa

Gdy środowisko korzysta z WebSeal z mechanizmem Basic Authentication, po zakończeniu sesji uwierzytelnienia nie jest ona prawidłowo unieważniana. Złośliwy użytkownik może wykorzystać aktywną lub nierozliczoną sesję, aby uzyskać dostęp do systemu z uprawnieniami innego użytkownika. Błąd sklasyfikowany jest jako CWE-269 (Improper Privilege Management), co oznacza nieprawidłowe zarządzanie uprawnieniami w kontekście sesji użytkownika.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do systemu IBM Maximo Asset Management, potencjalnie przejmując uprawnienia innego użytkownika, co może prowadzić do naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.ibm.com/support/pages/node/235239). Zaleca się również weryfikację konfiguracji WebSeal i mechanizmów zarządzania sesjami uwierzytelnienia.

Kogo dotyczy

IBM Maximo Asset Management w wersjach 6.2, 7.1 i 7.5 oraz IBM Change And Configuration Management Database — wyłącznie w konfiguracjach wykorzystujących WebSeal z Basic Authentication.