IBM DataRisk Manager |多個安全漏洞通告
發布時間 2020-04-230x00 漏洞概述
|
產品 |
CVE ID |
類 型 |
漏洞等級 |
遠程利用 |
影響范圍 |
|
IBM Data Risk Manager |
暫無 |
AB |
嚴重 |
是 |
IBM Data Risk Manager 2.0.1 to 2.0.3 IBM Data Risk Manager 2.0.4 to 2.0.6 可能受影響 |
|
暫無 |
CI |
嚴重 |
是 |
||
|
暫無 |
IDP |
嚴重 |
是 |
||
|
暫無 |
AFD |
高危 |
是 |
0x01 漏洞詳情
Agile信息安全公司的研究人員Pedro Ribeiro 4月21日在GitHub上公開披露了四個IBM 0day漏洞。這些漏洞影響IBM DataRisk Manager（IDRM），IDRM是一款企業安全工具，聚合來自漏洞掃描工具和其他風險管理工具的信息，以便管理員調查安全問題。
在分析IDRM Linux虛擬設備時，Ribeiro發現了4個0day：身份認證錯誤漏洞、命令注入漏洞、不安全的默認密碼漏洞以及任意文件下載漏洞。這些漏洞可以單獨使用也可以組合使用，組合使用前三個漏洞可以使攻擊者以root權限遠程執行代碼，組合使用第一個和第四個漏洞可以使未授權的攻擊者下載任意文件。
漏洞的披露者Ribeiro表示，IDRM是處理敏感信息的企業安全產品，如果其遭到攻擊會導致公司利益嚴重受損，因此在IBM拒絕接受漏洞報告后選擇將其發布出來。目前，IBM公司修復了IDRM2.0.1及更高版本中的任意文件下載漏洞和命令注入漏洞，并且正在調查身份驗證繞過漏洞。
（1）身份認證錯誤漏洞源于IDRM在/ albatross / saml / idpSelection有一個API將攻擊者提供的ID與系統上的有效用戶相關聯。未經身份驗證的攻擊者可利用該漏洞重置任何已有賬戶密碼，包括管理員密碼。
（2）命令注入漏洞源于IDRM的/albatross/restAPI/v2/nmap/run/scan中的某個API允許用戶使用nmap腳本執行網絡掃描，如果該腳本文件由攻擊者上傳，那么就可能被附加惡意命令。
（3）默認密碼漏洞產生的原因在于IDRM虛擬設備中的管理用戶是“a3user”，默認密碼為“idrm”。該用戶被允許通過SSH登錄和運行sudo命令。雖然IDRM強制web接口的管理員用戶（“admin”）在首次登錄時修改密碼，但是卻沒有要求“a3user”用戶修改密碼。
（4）任意文件下載漏洞源于/albatross/eurekaservice/fetchLogFiles中的某個API允許經過身份驗證的用戶從系統下載日志文件。但是，logFileNameList參數包含一個目錄遍歷漏洞，攻擊者可利用該漏洞從系統下載任意文件。
0x02 處置建議
命令注入漏洞和任意文件下載漏洞已修復，將IDRM升級到2.0.4版本即可。下載地址：https://www.ibm.com/software/passportadvantage/pacustomers.html；
默認密碼漏洞，IBM建議根據發布的安裝指南在初次安裝時重置。參考鏈接：https://www.ibm.com/support/knowledgecenter/en/SSJQ6V_2.0.6/com.ibm.idrm.doc/install/tsk/tsk_installguide_idrm_configuration.html；
身份認證錯誤漏洞暫時沒有修復，請及時關注廠商信息：https://www.ibm.com/support/pages/node/6195705。
0x03 相關新聞
https://www.zdnet.com/article/security-researcher-discloses-four-ibm-zero-days-after-company-refused-to-patch/#ftag=RSSbaffb68
0x04 參考鏈接
https://github.com/pedrib/PoC/blob/master/advisories/IBM/ibm_drm/ibm_drm_rce.md
0x05 時間線
2020-04-21 GitHub公布漏洞
2020-04-23 VSRC發布漏洞通告
京公網安備11010802024551號