The web user interface in IBM WebSphere Message Broker 8.0 before 8.0.0.6 and IBM Integration Bus 9.0 before 9.0.0.3 allows remote authentic

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm integration bus9.0
• ibm integration bus9.0.0.1
• ibm integration bus9.0.0.2
• ibm websphere message broker8.0
• ibm websphere message broker8.0.0.1
• ibm websphere message broker8.0.0.2
• ibm websphere message broker8.0.0.3
• ibm websphere message broker8.0.0.4
• ibm websphere message broker8.0.0.5

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2012-3317IBM WebSphere Message Broker 6.1 before 6.1.0.11, 7.0 before 7.0.0.5, and 8.0 before 8.0.0.2 has incorrect ownership of certain uninstaller
  27Наблюдать
• CVE-2017-1207IBM WebSphere Message Broker stores user credentials in plain in clear text which can be read by a local user.
  22Наблюдать
• CVE-2016-6080The WebAdmin context for WebSphere Message Broker allows directory listings which could disclose sensitive information to the attacker.
  21Наблюдать
• CVE-2012-5952IBM WebSphere Message Broker 6.1 before 6.1.0.12, 7.0 before 7.0.0.6, and 8.0 before 8.0.0.2 does not validate Basic Authentication credenti
  20Наблюдать
• CVE-2013-5372The XML4J parser in IBM WebSphere Message Broker 6.1 before 6.1.0.12, 7.0 before 7.0.0.7, and 8.0 before 8.0.0.4 and IBM Integration Bus 9.0
  18Наблюдать
• CVE-2015-0118IBM WebSphere Message Broker Toolkit 7 before 7007 IF2 and 8 before 8005 IF1 and Integration Toolkit 9 before 9003 IF1 are distributed with
  17Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.