Podatność w IBM Engineering Lifecycle Management umożliwia nieuwierzytelnionemu atakującemu zdalną modyfikację plików właściwości serwera. Stanowi to poważne zagrożenie, ponieważ może prowadzić do uzyskania nieautoryzowanego dostępu do aplikacji.
▸ Pokaż oryginał (EN)
IBM Engineering Lifecycle Management 7.0.3, 7.1.0, and 7.2.0 could allow an unauthenticated remote attacker to update server property files that would allow them to gain unauthorized access to the application.
Błąd wynika z nieprawidłowej autoryzacji (CWE-863), co oznacza, że mechanizmy kontroli dostępu nie weryfikują właściwie tożsamości żądającego przed zezwoleniem na operacje zapisu. Nieuwierzytelniony zdalny atakujący może wysyłać żądania sieciowe modyfikujące pliki właściwości serwera bez konieczności posiadania jakichkolwiek poświadczeń. Zmodyfikowane pliki konfiguracyjne mogą następnie pozwolić atakującemu na uzyskanie nieuprawnionego dostępu do aplikacji, np. poprzez zmianę ustawień uwierzytelniania lub autoryzacji.
Atakujący może uzyskać nieautoryzowany dostęp do aplikacji IBM Engineering Lifecycle Management, co grozi naruszeniem poufności, integralności oraz dostępności danych i funkcji systemu (CVSS C:H/I:H/A:H).
Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.ibm.com/support/pages/node/7274079
IBM Engineering Lifecycle Management w wersjach 7.0.3, 7.1.0 oraz 7.2.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIBM Engineering Lifecycle Management
APPIbm7.0.37.1.07.2.0
Powiązane podatności
IBM Engineering Lifecycle Management 7.0.3, 7.1.0, and 7.2.0 could allow an attacker with administrative privi...
IBM Engineering Lifecycle Management 7.0.3 Interim Fix 001 through Interim Fix 021, 7.1.0 Interim Fix 001 th...
IBM Jazz Foundation and IBM Engineering products could allow a remote attacker to bypass security restrictions...
IBM Jazz Team Server products use weaker than expected cryptographic algorithms that could allow an attacker t...
IBM Jazz Foundation Products are vulnerable to an XML External Entity Injection (XXE) attack when processing X...