CVE-2022-22318

IBM Curam Social Program Management — brak unieważnienia sesji po wylogowaniu

CVSS 9.8v3.1pub. 2022-06-20upd. 2024-11-21

IBM Curam Social Program Management w wersjach 8.0.0 i 8.0.1 nie unieważnia sesji użytkownika po wylogowaniu. Pozwala to uwierzytelnionemu użytkownikowi na podszywanie się pod inne konta w systemie.

▸ Pokaż oryginał (EN)

IBM Curam Social Program Management 8.0.0 and 8.0.1 does not invalidate session after logout which could allow an authenticated user to impersonate another user on the system.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego zarządzania sesjami (CWE-613 — Insufficient Session Expiration). Po wylogowaniu się użytkownika token sesji pozostaje aktywny i nie jest unieważniany po stronie serwera. Atakujący, który wejdzie w posiadanie takiego tokenu (np. poprzez podsłuchanie ruchu sieciowego, dostęp do historii przeglądarki lub wspólne środowisko), może go wykorzystać do uwierzytelnienia się jako inny użytkownik bez znajomości jego hasła.

Skutki

Atakujący może przejąć aktywną sesję innego użytkownika i działać w systemie z jego uprawnieniami, uzyskując dostęp do wrażliwych danych oraz funkcji systemu zarządzania programami socjalnymi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o poprawkach dostępne są na stronie IBM Support pod adresem https://www.ibm.com/support/pages/node/6596049.