Cross-site request forgery (CSRF) vulnerability in the Labor Reporting page in IBM Maximo Asset Management and Asset Management Essentials 6

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm maximo asset management6.2
• ibm maximo asset management7.1
• ibm maximo asset management7.5
• ibm maximo asset management essentials6.2
• ibm maximo asset management essentials7.1
• ibm maximo asset management essentials7.5
• ibm maximo service desk6.2
• ibm tivoli asset management for it6.2
• ibm tivoli asset management for it7.1
• ibm tivoli asset management for it7.2
• ibm tivoli change and configuration management database6.2
• ibm tivoli change and configuration management database7.1
• ibm tivoli change and configuration management database7.2
• ibm trivoli service request manager7.1
• ibm trivoli service request manager7.2

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-4463IBM Maximo Asset Management 7.6.0.1 and 7.6.0.2 is vulnerable to an XML External Entity Injection (XXE) attack when processing XML data.
  41В плане
• CVE-2021-20509IBM Maximo Asset Management 7.6.0 and 7.6.1 is potentially vulnerable to CSV Injection.
  40В плане
• CVE-2020-4493IBM Maximo Asset Management 7.6.0 and 7.6.1 could allow an attacker to bypass authentication and issue commands using a specially crafted HT
  40В плане
• CVE-2017-1175IBM Maximo Asset Management 7.1, 7.5, and 7.6 is vulnerable to SQL injection.
  40В плане
• CVE-2023-32333IBM Maximo Asset Management improper access control
  39Наблюдать
• CVE-2020-4521IBM Maximo Asset Management 7.6.0 and 7.6.1 could allow a remote authenticated attacker to execute arbitrary code on the system, caused by a
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.