CVE-2020-4879

IBM Cognos Controller — pominięcie uwierzytelnienia przez błędną walidację cookie

CVSS 9.8v3.1pub. 2022-01-21upd. 2024-11-21

IBM Cognos Controller w wersjach 10.4.0, 10.4.1 i 10.4.2 zawiera krytyczną podatność klasy Auth Bypass, umożliwiającą zdalnemu atakującemu ominięcie mechanizmów bezpieczeństwa. Brak wymagania jakichkolwiek uprawnień czy interakcji użytkownika czyni podatność szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

IBM Cognos Controller 10.4.0, 10.4.1, and 10.4.2 could allow a remote attacker to bypass security restrictions, caused by improper validation of authentication cookies. IBM X-Force ID: 190847.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji ciasteczek uwierzytelniających (authentication cookies) przez aplikację. Zdalny atakujący może spreparować odpowiednio zmodyfikowane cookie i przesłać je do serwera, co skutkuje błędnym uznaniem żądania za autoryzowane. W ten sposób możliwe jest obejście mechanizmów kontroli dostępu bez znajomości prawidłowych poświadczeń.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do chronionych zasobów i funkcji systemu IBM Cognos Controller, potencjalnie prowadząc do naruszenia poufności, integralności oraz dostępności danych finansowych i korporacyjnych przetwarzanych przez aplikację.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o poprawkach dostępne są na stronie IBM Support: https://www.ibm.com/support/pages/node/6509856

Kogo dotyczy

IBM Cognos Controller w wersjach 10.4.0, 10.4.1 oraz 10.4.2 działający na platformie Microsoft Windows.

Uwagi

Podatność została zarejestrowana w bazie IBM X-Force pod identyfikatorem ID: 190847. Data publikacji CVE (2022-01-21) jest znacznie późniejsza niż numer X-Force ID sugeruje, co może wskazywać na opóźnione ujawnienie.