CVE-2022-22317

IBM Curam Social Program Management — brak unieważnienia sesji po wylogowaniu

CVSS 9.8v3.1pub. 2022-06-20upd. 2024-11-21

IBM Curam Social Program Management w wersjach 8.0.0 i 8.0.1 nie unieważnia sesji użytkownika po wylogowaniu, co umożliwia przejęcie tożsamości innego użytkownika w systemie. Podatność jest krytyczna ze względu na brak wymagań uwierzytelnienia po stronie atakującego i możliwość uzyskania pełnego dostępu do danych ofiary.

▸ Pokaż oryginał (EN)

IBM Curam Social Program Management 8.0.0 and 8.0.1 does not invalidate session after logout which could allow an authenticated user to impersonate another user on the system. IBM X-Force ID: 218281.

🤖 Analiza AI

Jak działa

Po wylogowaniu się użytkownika z systemu token sesji pozostaje aktywny i nie jest unieważniany po stronie serwera (CWE-613: Insufficient Session Expiration). Atakujący, który wejdzie w posiadanie aktywnego identyfikatora sesji — np. poprzez podsłuchanie ruchu sieciowego, przechwycenie ciasteczka lub odczyt historii przeglądarki — może go ponownie użyć i działać w systemie z uprawnieniami wylogowanego użytkownika. Atak jest możliwy zdalnie, bez dodatkowych uprawnień ani interakcji ze strony ofiary.

Skutki

Atakujący może podszyć się pod dowolnego użytkownika systemu i uzyskać nieautoryzowany dostęp do jego danych oraz funkcji, co zagraża poufności, integralności i dostępności informacji przetwarzanych w systemie zarządzania programami społecznymi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacja opisana w biuletynie IBM pod adresem https://www.ibm.com/support/pages/node/6596049. Dodatkowo zaleca się wymuszanie unieważniania sesji po stronie serwera przy każdym wylogowaniu oraz skrócenie czasu życia tokenów sesyjnych.