CRITICAL🇬🇧 English

CVE-2024-41787

RCE poprzez race condition w IBM DOORS Next — CVE-2024-41787

CVSS 9.8v3.1pub. 2025-01-10upd. 2025-08-20

IBM Engineering Requirements Management DOORS Next w wersjach 7.0.2 i 7.0.3 zawiera krytyczną podatność race condition umożliwiającą zdalne wykonanie kodu. Błąd pozwala nieuwierzytelnionemu atakującemu na obejście mechanizmów bezpieczeństwa i przejęcie kontroli nad systemem.

▸ Pokaż oryginał (EN)

IBM Engineering Requirements Management DOORS Next 7.0.2 and 7.0.3 could allow a remote attacker to bypass security restrictions, caused by a race condition. By sending a specially crafted request, an attacker could exploit this vulnerability to remotely execute code.

🤖 Analiza AI
Jak działa

Podatność wynika z błędu synchronizacji (race condition, CWE-367) — sytuacji, gdy aplikacja sprawdza pewien warunek bezpieczeństwa i wykonuje operację w dwóch oddzielnych krokach, pomiędzy którymi możliwa jest interwencja atakującego (tzw. TOCTOU). Atakujący wysyła specjalnie spreparowane żądanie sieciowe, które w odpowiednim momencie wyścigu procesów pozwala ominąć ograniczenia bezpieczeństwa. W rezultacie możliwe jest zdalne wykonanie dowolnego kodu (RCE) bez konieczności posiadania uwierzytelnienia.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze bez uwierzytelnienia, co prowadzi do pełnego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.ibm.com/support/pages/node/7180636

Kogo dotyczy

IBM Engineering Requirements Management DOORS Next w wersjach 7.0.2 oraz 7.0.3

CVSS Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

  • IBM Doors Next

    APP
    Ibm
    7.0.27.0.3
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
Tagi
Race Condition
CWE
Referencje

Powiązane podatności

CVE-2023-45192HIGH8.2ten sam produkt

IBM Engineering Requirements Management DOORS Next 7.0.2 and 7.0.3 is vulnerable to an XML External Entity Inj...

CVE-2020-4965HIGH7.5ten sam produkt

IBM Jazz Team Server products use weaker than expected cryptographic algorithms that could allow an attacker t...

CVE-2021-20519MEDIUM5.4ten sam produkt

IBM Jazz Team Server products are vulnerable to cross-site scripting. This vulnerability allows users to embed...

CVE-2020-4964MEDIUM4.3ten sam produkt

IBM Jazz Team Server products contain an undisclosed vulnerability that could allow an authenticated user to p...

CVE-2020-4920MEDIUM5.4ten sam produkt

IBM Jazz Team Server products are vulnerable to stored cross-site scripting. This vulnerability allows users t...