CVE-2017-1221

IBM BigFix: brak wymogu silnych haseł umożliwia przejęcie kont

CVSS 9.8v3.0pub. 2017-11-13upd. 2026-05-13

IBM BigFix (dawniej IBM Tivoli Endpoint Manager) w wersjach 9.2 i 9.5 domyślnie nie wymusza stosowania silnych haseł, co ułatwia atakującym kompromitację kont użytkowników. Podatność sklasyfikowana jako krytyczna (CVSS 9.8) ze względu na brak uwierzytelnienia wymagany do jej wykorzystania oraz pełen wpływ na poufność, integralność i dostępność.

▸ Pokaż oryginał (EN)

IBM Tivoli Endpoint Manager (IBM BigFix 9.2 and 9.5) does not require that users should have strong passwords by default, which makes it easier for attackers to compromise user accounts. IBM X-Force ID: 123861.

🤖 Analiza AI

Jak działa

System nie egzekwuje wymogu stosowania silnych haseł (CWE-521 – Weak Password Requirements), przez co użytkownicy mogą ustawiać hasła trywialne lub łatwe do odgadnięcia. Atakujący działający zdalnie, bez żadnych uprawnień ani interakcji ze strony ofiary, może próbować przełamać słabe hasła metodami brute-force lub słownikowymi. Po pomyślnym odgadnięciu hasła uzyskuje pełny dostęp do konta użytkownika.

Skutki

Atakujący może przejąć dowolne konto użytkownika platformy IBM BigFix, co prowadzi do pełnej utraty poufności, integralności oraz dostępności zarządzanych zasobów. Skutki obejmują nieautoryzowany dostęp do systemu zarządzania punktami końcowymi oraz potencjalne przejęcie kontroli nad zarządzaną infrastrukturą IT.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (IBM Support: swg22010177). Dodatkowo zaleca się natychmiastowe wdrożenie polityki silnych haseł w konfiguracji platformy oraz wymuszenie zmiany haseł przez wszystkich użytkowników.