CVE-2025-48748

W oprogramowaniu Netwrix Directory Manager wbudowano stałe, niezmienne hasło bezpośrednio w kod aplikacji. Atakujący, który pozna lub odtworzy to hasło (np. przez analizę binarną lub ujawnienie publiczne), może użyć go do uwierzytelnienia się w systemie. Ponieważ hasło jest identyczne we wszystkich instalacjach i nie może być zmienione przez administratora, każda instancja produktu jest podatna w ten sam sposób. Wektor ataku jest sieciowy, bez wymogu posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika.

Atakujący może uzyskać pełny, nieautoryzowany dostęp do systemu zarządzania katalogiem, co może prowadzić do ujawnienia poufnych danych, modyfikacji konfiguracji oraz całkowitego przejęcia kontroli nad środowiskiem zarządzania tożsamościami i grupami w organizacji.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje dostępne są w oficjalnym komunikacie Netwrix pod adresem: https://community.netwrix.com/t/adv-2025-013-hard-coded-password-in-netwrix-directory-manager-formerly-imanami-groupid-v10-and-earlier/13945

Netwrix Directory Manager (dawniej Imanami GroupID) w wersji do 10.0.7784.0 włącznie

Produkt wcześniej funkcjonował pod nazwą Imanami GroupID. Podatność dotyczy wersji 10 i wcześniejszych (do v.10.0.7784.0). CVSS wynosi 10.0 (maksymalny), co odzwierciedla brak jakichkolwiek wymagań wstępnych do przeprowadzenia ataku oraz zasięg wykraczający poza komponent podatny (Scope: Changed).