CVE-2021-38945

IBM Cognos Analytics — nieograniczony upload plików (CWE-434)

CVSS 9.8v3.1pub. 2022-06-24upd. 2024-11-21

IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 i 11.2.1 umożliwia zdalnym, nieuwierzytelnionym atakującym wgranie dowolnych plików na serwer wskutek nieprawidłowej walidacji przesyłanych treści. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją poważnym zagrożeniem dla środowisk produkcyjnych.

▸ Pokaż oryginał (EN)

IBM Cognos Analytics 11.2.1, 11.2.0, and 11.1.7 could allow a remote attacker to upload arbitrary files, caused by improper content validation. IBM X-Force ID: 211238.

🤖 Analiza AI

Jak działa

Aplikacja nie weryfikuje prawidłowo typu ani zawartości przesyłanych plików, co pozwala atakującemu ominąć mechanizmy kontroli i umieścić na serwerze plik o dowolnym rozszerzeniu i zawartości. Ponieważ atak nie wymaga uwierzytelnienia, żadnych szczególnych uprawnień ani interakcji użytkownika, może zostać przeprowadzony zdalnie przez sieć publiczną. Wgranie pliku wykonywalnego (np. webshella) może prowadzić do przejęcia kontroli nad serwerem.

Skutki

Atakujący może wgrać złośliwy plik na serwer, co w konsekwencji może prowadzić do zdalnego wykonania kodu (RCE), przejęcia kontroli nad systemem, kradzieży danych lub dalszego lateral movement w sieci organizacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (IBM Security Bulletin: https://www.ibm.com/support/pages/node/6597241). Zaleca się również ograniczenie dostępu do funkcji przesyłania plików na poziomie firewall lub reverse proxy oraz monitorowanie katalogów serwera pod kątem nieautoryzowanych plików.

Kogo dotyczy

IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 oraz 11.2.1; pośrednio dotyczy również NetApp OnCommand Insight jako produktu zawierającego podatną zależność.

Uwagi

Podatność została zarejestrowana przez IBM X-Force pod identyfikatorem ID: 211238. NetApp opublikował własne advisory (ntap-20220729-0002) dla produktu OnCommand Insight wykorzystującego podatną bibliotekę IBM Cognos Analytics.