CVE-2020-4429

IBM Data Risk Manager — domyślne hasło konta administracyjnego umożliwia RCE

CVSS 9.8v3.1pub. 2020-05-07upd. 2025-11-03

IBM Data Risk Manager w wersjach 2.0.1–2.0.6 zawiera wbudowane, domyślne hasło dla konta administracyjnego IDRM. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność do zalogowania się i wykonania dowolnego kodu z uprawnieniami root.

▸ Pokaż oryginał (EN)

IBM Data Risk Manager 2.0.1, 2.0.2, 2.0.3, 2.0.4, 2.0.5, and 2.0.6 contains a default password for an IDRM administrative account. A remote attacker could exploit this vulnerability to login and execute arbitrary code on the system with root privileges. IBM X-Force ID: 180534.

🤖 Analiza AI

Jak działa

Podatność klasyfikowana jako CWE-798 (Use of Hard-coded Credentials) polega na tym, że aplikacja IBM Data Risk Manager posiada predefiniowane, niezmienione domyślne hasło dla konta administracyjnego IDRM. Atakujący zdalnie, bez żadnej interakcji użytkownika i bez wcześniejszego uwierzytelnienia, może zalogować się na to konto przy użyciu znanych poświadczeń. Po uzyskaniu dostępu może wykonać dowolny kod na systemie z uprawnieniami root.

Skutki

Atakujący uzyskuje pełną kontrolę nad systemem z uprawnieniami root, co umożliwia wykonanie dowolnego kodu, odczyt i modyfikację danych oraz całkowite przejęcie serwera.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.ibm.com/support/pages/node/6206875). Dodatkowo należy niezwłocznie zmienić domyślne hasło konta administracyjnego IDRM oraz ograniczyć dostęp sieciowy do interfejsu zarządzania IBM Data Risk Manager.

Kogo dotyczy

IBM Data Risk Manager w wersjach: 2.0.1, 2.0.2, 2.0.3, 2.0.4, 2.0.5 oraz 2.0.6

Uwagi

Podatność zgłoszona przez IBM X-Force pod identyfikatorem ID: 180534. Wbudowane, twarde poświadczenia (hard-coded credentials) w połączeniu z brakiem wymogu uwierzytelnienia czynią tę podatność szczególnie niebezpieczną w środowiskach z ekspozycją na sieć zewnętrzną.