Podatność w produktach IBM Security Verify Access oraz IBM Verify Identity Access umożliwia lokalnie uwierzytelnionemu użytkownikowi eskalację uprawnień do poziomu root. Wynika ona z uruchamiania procesów z nadmiarowymi uprawnieniami i może całkowicie skompromitować system.
▸ Pokaż oryginał (EN)
IBM Verify Identity Access Container 11.0 through 11.0.2 and IBM Security Verify Access Container 10.0 through 10.0.9.1 and IBM Verify Identity Access 11.0 through 11.0.2 and IBM Security Verify Access 10.0 through 10.0.9.1 could allow a locally authenticated user to escalate their privileges to root due to execution with unnecessary privileges than required.
Podatność sklasyfikowana jako CWE-250 (Execution with Unnecessary Privileges) polega na tym, że komponenty systemu IBM Security Verify Access i IBM Verify Identity Access wykonują się z wyższymi uprawnieniami niż jest to faktycznie wymagane do ich działania. Lokalnie uwierzytelniony użytkownik może to wykorzystać, aby podnieść swoje uprawnienia do poziomu root bez konieczności posiadania dodatkowych uprawnień administracyjnych. Dotyczy to zarówno wersji kontenerowych, jak i tradycyjnych instalacji obu produktów.
Atakujący z lokalnym dostępem do systemu może uzyskać pełną kontrolę nad systemem operacyjnym z poziomem uprawnień root, co umożliwia mu odczyt, modyfikację i usunięcie dowolnych danych, a także dalsze działania w infrastrukturze.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.ibm.com/support/pages/node/7268253). Dodatkowo zaleca się ograniczenie lokalnego dostępu do systemów obsługujących te produkty wyłącznie do zaufanych i niezbędnych użytkowników oraz monitorowanie prób eskalacji uprawnień.
IBM Verify Identity Access w wersji 11.0 do 11.0.2, IBM Security Verify Access w wersji 10.0 do 10.0.9.1, IBM Verify Identity Access Container w wersji 11.0 do 11.0.2 oraz IBM Security Verify Access Container w wersji 10.0 do 10.0.9.1.
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIBM Security Verify Access
APPIbm10.0.0 – 10.0.9.1IBM Security Verify Access Container
APPIbm10.0.0.0 – 10.0.9.1IBM Verify Identity Access
APPIbm11.0.0.0 – 11.0.2.0IBM Verify Identity Access Container
APPIbm11.0.0.0 – 11.0.2.0
Powiązane podatności
IBM Security Verify Access — privilege escalation do root przez nadmiarowe uprawnienia
IBM Security Verify Access — zakodowane na stałe poświadczenia (hard-coded credentials)
IBM Security Verify Access — zakodowane na stałe poświadczenia (hard-coded credentials)
IBM Security Verify Access — zdalne wykonanie poleceń (command injection)
IBM Security Verify Access 10.0.0.0, 10.0.1.0 and 10.0.2.0 with the advanced access control authentication ser...