CVE-2017-1175

SQL Injection w IBM Maximo Asset Management — dostęp do bazy danych

CVSS 9.8v3.0pub. 2017-07-05upd. 2026-05-13

IBM Maximo Asset Management w wersjach 7.1, 7.5 i 7.6 zawiera podatność typu SQL injection umożliwiającą zdalnemu atakującemu manipulację bazą danych bez uwierzytelnienia. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

IBM Maximo Asset Management 7.1, 7.5, and 7.6 is vulnerable to SQL injection. A remote attacker could send specially-crafted SQL statements, which could allow the attacker to view, add, modify or delete information in the back-end database. IBM X-Force ID: 123297.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane zapytania SQL do aplikacji IBM Maximo Asset Management. Brak odpowiedniej walidacji i sanityzacji danych wejściowych (CWE-89) powoduje, że złośliwy kod SQL jest interpretowany i wykonywany przez silnik bazy danych. Atak można przeprowadzić zdalnie, przez sieć, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji po stronie użytkownika.

Skutki

Atakujący może odczytywać, dodawać, modyfikować lub usuwać dowolne dane przechowywane w backendowej bazie danych systemu Maximo, co może prowadzić do ujawnienia poufnych informacji, utraty integralności danych lub ich całkowitego zniszczenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (IBM Security Bulletin: swg22005212). Zaleca się niezwłoczne wdrożenie poprawek oraz ograniczenie dostępu sieciowego do interfejsów aplikacji Maximo do zaufanych źródeł.