CVE-2025-36250

RCE w IBM AIX/VIOS: błąd kontroli procesów w usłudze NIM server (nimesis)

CVSS 10.0v3.1pub. 2025-11-13upd. 2025-11-19

Podatność w usłudze NIM server (nimesis) systemów IBM AIX 7.2, 7.3 oraz IBM VIOS 3.1 i 4.1 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń. Podatność uzyskała maksymalną ocenę CVSS 10.0, co czyni ją krytycznym zagrożeniem dla środowisk produkcyjnych.

▸ Pokaż oryginał (EN)

IBM AIX 7.2, and 7.3 and IBM VIOS 3.1, and 4.1 NIM server (formerly known as NIM master) service (nimesis) could allow a remote attacker to execute arbitrary commands due to improper process controls. This addresses additional attack vectors for a vulnerability that was previously addressed in CVE-2024-56346.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej kontroli procesów (CWE-114) w usłudze NIM server (dawniej określanej jako NIM master), działającej pod nazwą procesu nimesis. Zdalny atakujący, bez konieczności uwierzytelniania i bez interakcji użytkownika, może przesłać odpowiednio spreparowane żądanie sieciowe, które skutkuje wykonaniem arbitralnych poleceń w kontekście usługi. CVE-2025-36250 adresuje dodatkowe wektory ataku dla podatności, która była już częściowo łatana w ramach CVE-2024-56346, co oznacza, że poprzednia poprawka nie eliminowała problemu w całości.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemowe bez uwierzytelnienia, co w praktyce oznacza możliwość przejęcia pełnej kontroli nad serwerem NIM, naruszenia poufności i integralności danych oraz doprowadzenia do niedostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://www.ibm.com/support/pages/node/7251173. Dodatkowo, do czasu wdrożenia poprawki, zaleca się ograniczenie dostępu sieciowego do usługi nimesis wyłącznie do zaufanych hostów za pomocą firewalla lub reguł ACL na poziomie sieci.

Kogo dotyczy

IBM AIX 7.2 oraz 7.3, IBM VIOS 3.1 oraz 4.1 — systemy z uruchomioną usługą NIM server (nimesis)

Uwagi

CVE-2025-36250 stanowi uzupełnienie wcześniej opublikowanego CVE-2024-56346, dotyczącego tej samej usługi nimesis — poprzednia poprawka nie eliminowała wszystkich wektorów ataku. Środowiska, które wdrożyły fix dla CVE-2024-56346, nadal mogą być podatne i wymagają zastosowania nowej aktualizacji.