CVE-2025-36096

IBM AIX/VIOS: Niebezpieczne przechowywanie kluczy prywatnych NIM

CVSS 9.0v3.1pub. 2025-11-13upd. 2025-11-19

IBM AIX 7.2, 7.3 oraz IBM VIOS 3.1 i 4.1 przechowują klucze prywatne NIM (Network Installation Management) w sposób niewystarczająco zabezpieczony, co umożliwia nieuprawniony dostęp. Podatność jest krytyczna, ponieważ pozwala atakującemu bez uwierzytelnienia na przechwycenie kluczy metodą man-in-the-middle i potencjalne przejęcie kontroli nad środowiskiem.

▸ Pokaż oryginał (EN)

IBM AIX 7.2, and 7.3 and IBM VIOS 3.1, and 4.1 stores NIM private keys used in NIM environments in an insecure way which is susceptible to unauthorized access by an attacker using man in the middle techniques.

🤖 Analiza AI

Jak działa

Klucze prywatne wykorzystywane w środowiskach NIM są składowane w sposób podatny na nieuprawniony odczyt (CWE-522 — niewystarczająco chronione dane uwierzytelniające). Atakujący może zastosować technikę man-in-the-middle w komunikacji sieciowej, aby przechwycić lub uzyskać dostęp do tych kluczy. Ponieważ wektor ataku jest sieciowy (AV:N) i nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika, próg wejścia jest stosunkowo niski, choć atak wymaga pewnej złożoności technicznej (AC:H).

Skutki

Atakujący, który przechwyci klucze prywatne NIM, może uzyskać poufne informacje, a także potencjalnie modyfikować dane i zakłócać działanie systemów zarządzanych przez NIM, co odpowiada wysokiemu wpływowi na poufność, integralność i dostępność (C:H/I:H/A:H) z przekroczeniem zakresu (S:C).