IBM WebSphere Application Server w wersjach 9.0 i 8.5 jest podatny na identity spoofing (podszywanie się pod tożsamość). Podatność sklasyfikowana jako krytyczna umożliwia atakującemu działającemu zdalnie, bez uwierzytelnienia, naruszenie integralności systemu i dostępności usług.
▸ Pokaż oryginał (EN)
IBM WebSphere Application Server 9.0, and 8.5 is vulnerable to identity spoofing.
Podatność jest związana z CWE-290, czyli obejściem mechanizmu uwierzytelnienia poprzez spoofing. Atakujący może podszyć się pod inną tożsamość (użytkownika lub komponent systemu) bez konieczności posiadania prawidłowych poświadczeń. Wektor ataku sieciowy (AV:N) przy braku wymaganych uprawnień (PR:N) i braku interakcji użytkownika (UI:N) oznacza, że exploit może być przeprowadzony w pełni zdalnie.
Atakujący może podszywać się pod inną tożsamość w systemie, co prowadzi do naruszenia integralności danych i operacji (I:H) oraz potencjalnej utraty dostępności usług (A:H). Poufność danych według wektora CVSS nie jest bezpośrednio zagrożona.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o poprawkach dostępne są pod adresem: https://www.ibm.com/support/pages/node/7274740
IBM WebSphere Application Server w wersjach 9.0 oraz 8.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:HIBM Websphere Application Server
APPIbm8.5.0.0 – 8.5.5.30 (bez)9.0.0.0 – 9.0.5.29 (bez)
Powiązane podatności
Serialized-object interfaces in certain IBM analytics, business solutions, cognitive, IT infrastructure, and m...
IBM WebSphere Application Server 9.0, and 8.5 is affected by a cross-site scripting vulnerability in the admin...
IBM WebSphere Application Server 9.0, and 8.5 is affected by a cross-site scripting vulnerability in the admin...
RCE w IBM WebSphere Application Server — ominięcie zabezpieczeń
IBM WebSphere Application Server – RCE przez deserializację danych w JAX-WS