IBM Security Identity Manager Adapters 6.0 and 7.0 does not perform an authentication check for a critical resource or functionality allowin

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• ibm security identity governance and intelligence5.2
• ibm security identity governance and intelligence5.2.1
• ibm security identity manager6.0.0.0
• ibm security identity manager7.0.0.0
• ibm security privileged identity manager2.0
• ibm security privileged identity manager2.0.1
• ibm security privileged identity manager2.0.2

Üreticinin bildirdiği sürümler

Kaydı açan otorite (ibm) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• IBM Security Identity Manager

  • 6.0, 7.0etkilenir

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2020-4958IBM Security Identity Governance and Intelligence 5.2.6 does not perform any authentication for functionality that requires a provable user
  40Planlayın
• CVE-2018-1944IBM Security Identity Governance and Intelligence 5.2 through 5.2.4.1 Virtual Appliance contains hard-coded credentials, such as a password
  39İzleyin
• CVE-2017-1407IBM Security Identity Manager Virtual Appliance 6.0 and 7.0 could allow a remote authenticated attacker to execute arbitrary commands on the
  36İzleyin
• CVE-2020-4795IBM Security Identity Governance and Intelligence 5.2.6 could disclose sensitive information to an unauthorized user using a specially craft
  33İzleyin
• CVE-2018-1756IBM Security Identity Governance and Intelligence 5.2.3.2 and 5.2.4 is vulnerable to SQL injection.
  33İzleyin
• CVE-2017-1396IBM Security Identity Governance Virtual Appliance 5.2 through 5.2.3.2 specifies permissions for a security-critical resource in a way that
  32İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Geliştirme ya da destek için eklenen bir işlev, üretime kimlik doğrulaması olmadan çıkıyor. Çoğu zaman “yalnızca iç ağdan erişilir” varsayımına güvenilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1// Destek ekibi için eklendi2app.post("/maintenance/reset", resetDevice);

1if (config.maintenanceEnabled) {2  app.post(3    "/maintenance/reset",4    requireSession, requireRole("admin"), resetDevice5  );6}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.